Je TOTP na stejném notebooku opravdu druhý faktor?
Generátor kódů na notebooku s VPN je faktor vlastnictví, který leží uvnitř stejné hranice kompromitace. Nejprve sledujte seed a relaci.
Přihlaste se do VPN klienta, který žádá heslo a poté šestimístný kód, a dvě výzvy vypadají jako dvě nezávislé bariéry. Podle typu faktoru to tak je: heslo je něco, co znáte, kód je něco, co vlastníte. Podle toho, co odhalí jeden kompromitovaný notebook, se mohou slít do jedné hranice, protože to, co vlastníte, je soubor na stroji, do kterého píšete. Rozdíl mezi těmito dvěma počty je tématem tohoto průvodce.
Sledujte jedno přihlášení od pole pro heslo k poli pro kód
Sledujte posloupnost, ne popisky. Klient odešle heslo, server odpoví, že je zapotřebí druhý důkaz, a klient otevře pole pro šest nebo osm číslic. Za tímto polem stojí generátorová aplikace, která drží sdílené tajemství a hodiny. Vypočte hodnotu z tajemství a aktuálního časového kroku a server přepočte stejnou hodnotu ze své kopie tajemství.
Obě strany drží stejný klíčový materiál. Tato symetrie je část, kterou lidé přehlížejí, když kód popisují jako tajemství: poskytovatel může generovat i vaše kódy, a proto má seed větší cenu než jakýkoli jednotlivý výstup. Kód, který unikne, je jednorázová hodnota; seed, který ho vytvořil, je trvalý údaj, který dál vytváří platné hodnoty, dokud není nahrazen.
Aktivace je druhá polovina toku. Generátor, který se odemyká PIN kódem zařízení, biometrickou výzvou nebo šifrovaným kontejnerem, předkládá důkaz vlastnictví plus něco dalšího. Ten, který běží nešifrovaně a odemyká se relací operačního systému, předkládá jen soubor. Stejná aplikace může nabídnout obě uspořádání podle toho, jak byl zápis proveden, takže rozhodnutí o nasazení leží v tomto kroku, ne na marketingové stránce aplikace.
Rozhodněte, co kód skutečně dokazuje
Jazyk standardů je tu neobvykle jasný a stojí za přímé čtení. Pokyny NIST k autentizátorům uvádějí softwarové OTP generátory jako autentizátory, rozlišují jednofaktorové OTP od vícefaktorového OTP s aktivačním faktorem a uvádějí, že OTP autentizace není odolná vůči phishingu. Každá z těchto tří klauzulí mění to, co o výzvě můžete tvrdit.
Neodolnost vůči phishingu je nejostřejší hrana. Kód napsaný do pole lze napsat do cizího pole, v reálném čase, člověkem, kterého k tomu přemluvili. Okno je krátké, což snižuje počet užitečných pokusů, ale techniku neuzavírá. Pokud váš požadavek zahrnuje odolnost vůči tomu, OTP je špatný primitiv bez ohledu na to, kde generátor běží.
Jednofaktorové versus vícefaktorové je druhé rozlišení. Kód, který se objeví bez aktivačního kroku, dokazuje vlastnictví souboru a nic jiného, a soubor je jen tak silný jako účet, který ho může číst. Přidejte aktivační faktor a tvrzení se zlepší, i když stále popisuje důkaz předložený při přihlášení, nikoli izolaci stroje, který ho vytváří.
Podívejte se, kam až se kompromitovaný notebook dostane
Útočník se spuštěním kódu na pracovní stanici není omezen na čtení pole, do kterého píšete. Relace navázaná po úspěšném přihlášení je obvykle token nebo cookie a token lze použít z jiného stroje zcela bez kódu. Pokud je to schopnost, proti které se bráníte, přidání druhé výzvy při přihlášení mění počet kroků útoku, ne výsledek.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Čtěte třetí sloupec jako ten poctivý. Každé uspořádání výše nechává něco uvnitř hranice důvěry pracovní stanice, protože právě tam se relace používá. Mění se, zda dlouhodobé tajemství cestuje s touto hranicí, nebo zůstává mimo ni, a zda je důkaz svázán s konkrétním původem, aby ho napodobená stránka nemohla přeposlat.
Dva menší detaily patří do stejného obrázku. Kód zůstává platný po dobu svého akceptačního okna, často třicet sekund plus tolerance na odchylku hodin, takže zachycenou hodnotu lze v tomto okně přehrát, pokud ověřovatel neodmítne opakované použití. A instalace nového generátoru neukončuje relace, které už byly autentizované, takže zastaralá relace přežije změnu údajů, která měla incident zadržet.
Přesuňte generátor jen tam, kde oddělení pomáhá
Umístit generátor kódů do telefonu je skutečné zlepšení pro jednu konkrétní poruchu: ukradený notebook už nenosí oba důkazy. Nepomůže proti únosu relace na notebooku, nepomůže uživateli, který kód napíše do phishingové stránky, a nepomůže záložním kódům, které byly jednou vytištěny a vyfoceny do aplikace s poznámkami.
Napište tedy požadavek dřív, než vyberete nástroj. Pokud je cílem dodatečný důkaz proti uniklému heslu, řekněte to přímo a aplikace na stejném zařízení ho už poskytuje. Pokud je cílem odolnost vůči kompromitaci pracovní stanice VPN, pojmenujte tuto schopnost útočníka a vyberte uspořádání, které je pro ni vyhodnocené, a požadavek na phishing uveďte odděleně, místo abyste ho předpokládali.
Pak se věnujte operativní polovině, která rozhoduje, zda něco z toho přežije střet s incidentem. Ztráta zařízení potřebuje zdokumentovanou cestu náhrady, rotace údajů potřebuje odvolat aktivní relace a zápisový materiál potřebuje stejnou ochranu jako seed, protože nechráněná kopie zápisu dá útočníkovi stejné budoucí kódy kratší cestou. Vyjmenovat tyto čtyři položky je užitečnější než hádat se, zda jsou tokeny na stejném zařízení dobré, nebo bezcenné.