Dvě výzvy k zadání hesla nejsou MFA: co přihlášení VPN ověřuje

Přihlašovací stránka žádá heslo, pak druhé tajemství, a nasazení se rázem popisuje jako vícefaktorové. Někdy to tak je. Často jde o jediný faktor sebraný dvakrát, protože obě hodnoty jsou znalosti, které tatáž osoba napsala ze stejné paměti nebo ze stejné poznámky. Silná šifra tunelu to nezmění a slovo „bezpečný“ v názvu produktu také ne.

Oddělit tvrzení od mechanismu vyžaduje jedinou otázku: co každý krok dokazuje a komu?

Faktor je důkaz, ne pole

Vícefaktorové ověřování znamená, že se pro stejný účet ověřuje více než jeden odlišný druh důkazu: něco, co uživatel ví, něco, co má, něco, čím je. Dvě pole, která obě sbírají zapamatovaný řetězec, jsou jeden druh důkazu vyžádaný dvakrát. Může to být užitečná kontrola, protože dva nezávislé sekrety se hádají obtížněji než jeden, ale není to to, co termín popisuje, a v hodnocení rizik by se to tak nemělo počítat.

Strana ověření je stejně důležitá jako strana sběru. Kód vygenerovaný na zařízení dokazuje kontrolu nad tímto zařízením jen tehdy, pokud jej server ověří proti tajemství svázanému s tímto účtem a odmítne opakování. Sdílený kód, který funguje pro všechny, kód bez omezení počtu pokusů nebo výzva schválená na zařízení, které nikdy neukazuje, co se schvaluje, jsou slabší, než nálepka naznačuje.

Takže když se někdo ptá, zda VPN má MFA, ptejte se, co druhý krok dokazuje a jak jej server svazuje. Pokud zní odpověď „druhé heslo ze stejného adresáře“, máte jeden faktor a rozhovor o politice, ne druhý faktor.

Případ certifikátu je třeba číst, ne předpokládat

Klientský certifikát plus heslo vypadá jako dva faktory a může to tak být: certifikát je uložen v úložišti nebo na tokenu a heslo se pamatuje. Může to být i jeden, pokud soubor certifikátu leží nechráněný ve stejném profilovém adresáři jako uložené heslo, nebo pokud byl certifikát vydán zařízení, které několik lidí sdílí bez individuální odpovědnosti.

Otázkou k vyřešení je, koho nebo co certifikát identifikuje. Certifikát zařízení dokazuje, že je přítomen spravovaný stroj. Uživatelský certifikát dokazuje identitu. Pokud nasazení vydává jeden certifikát na notebook a pak jeho přítomnost považuje za důkaz osoby, druhý faktor se tiše stal vlastností hardwaru, kterou dědí každý, kdo notebook drží.

Nic z toho nedělá z certifikátů špatný nápad. Dělá to rozdíl mezi zárukou zařízení a zárukou uživatele hodným zapsání, protože oba odpovídají na různé otázky a tabulka shody, která je počítá jako jednu, nadhodnotí, co je chráněno.

Důvěra v bránu a důvěra v uživatele jsou oddělené problémy

Druhý faktor nečiní bezpečným zapisovat přihlašovací údaje do koncového bodu, který jste neověřili. Klient musí rozpoznat zamýšlenou bránu, a k tomu slouží certifikát serveru a konfigurace důvěry klienta. Phishing funguje tak, že přesune přihlášení na server, který útočník ovládá, a správný jednorázový kód tam zadaný se prostě v reálném čase přepošle skutečné službě.

Proto volba metody mění výsledek více než formulace výzvy. Kódy, které zadává člověk, může přeposlat kdokoli, kdo umí předložit přesvědčivou stránku, zatímco kryptografické metody, které vážou ověřování na konkrétní původ a relaci, tomuto přeposlání odolávají už z principu. Který z případů máte, je vlastnost metody, ne počet kroků v dialogu.

Následujte dodavatelem podporovaný postup registrace a tok klienta, místo abyste přišroubovali další výzvu k poli pro heslo. Domácí druhý krok obvykle skončí někde mezi tím, přidá tření bez vazby, která dává faktoru smysl.

Obnova je druhé vstupní dveře

Každé silné přihlášení má cestu zpět, když se autentikátor ztratí, a právě tato cesta bývá nejslabší místo návrhu. Pokud agent podpory může po telefonátu na číslo v evidenci resetovat druhý faktor, nejlevnější cestou útočníka je helpdesk, ne přihlašovací stránka.

Ptejte se, jak výměna funguje, kdo ji schvaluje a jaké důkazy vyžadují. Pak zkontrolujte, že obnovovací materiál, jako záložní kódy, je uložen odděleně od primárního údaje, aby jeden kompromis nevydal oba. Pokyny NIST k digitální identitě považují svázání ověřovatele a životní cyklus autentikátoru za součást požadavku, ne za provozní dodatečnou myšlenku.

Co napsat do hodnocení

Popište faktory podle druhu, pojmenujte, co každý dokazuje, a uveďte, jak je svázán s účtem. Poznamenejte, zda metoda odolává přeposlání, a popište cestu obnovy se stejnou pečlivostí jako přihlášení.

Pak řekněte jasně, zda je nasazení podle této definice vícefaktorové. „Dvě hesla a certifikát stroje“ je poctivá věta a čtenáři řekne mnohem víc než zaškrtávací políčko, které říká ano.