A yw TOTP ar yr un gliniadur wir yn ail ffactor?
Mae generadur codau ar gliniadur VPN yn ffactor meddiant sydd o fewn yr un ffin gyfaddawd. Dilynwch yr had a'r sesiwn yn gyntaf.
Mewngofnodwch i glient VPN sy'n gofyn am gyfrinair ac yna cod chwe digid, ac mae dau ymholiad yn edrych fel dau rwystr annibynnol. Wrth eu cyfrif yn ôl math o ffactor, felly y maent: y cyfrinair yw rhywbeth a wyddoch, a'r cod yw rhywbeth sydd gennych. Wrth eu cyfrif yn ôl yr hyn y mae un gliniadur cyfaddawd yn ei ddatgelu, gallant gwympo i un ffin, oherwydd y peth sydd gennych yw ffeil ar y peiriant yr ydych yn teipio iddo. Y bwlch rhwng y ddau gyfrif hynny yw pwnc y daith hon.
Dilynwch un mewngofnod o'r maes cyfrinair i'r blwch cod
Edrychwch ar y dilyniant, nid ar y labeli. Mae'r cleient yn anfon y cyfrinair, mae'r gweinydd yn ateb bod angen ail brawf, ac mae'r cleient yn agor maes ar gyfer chwe neu wyth digid. Y tu ôl i'r maes hwnnw mae cymhwysiad generadur sy'n dal cyfrinach a rennir a chloc. Mae'n cyfrifo gwerth o'r gyfrinach a'r cam amser presennol, ac mae'r gweinydd yn ailgyfrifo'r un gwerth o'i gopi o'r gyfrinach.
Mae'r ddwy ochr yn dal yr un deunydd allwedd. Y cymesuredd hwnnw yw'r rhan y mae pobl yn ei cholli pan fyddant yn disgrifio'r cod fel cyfrinach: gall y darparwr gynhyrchu eich codau hefyd, a dyna pam y mae'r had yn fwy gwerthfawr nag unrhyw un allbwn. Mae cod sy'n gollwng yn werth un-tro; mae'r had a'i cynhyrchodd yn dysteb barhaol sy'n parhau i gynhyrchu gwerthoedd dilys nes iddo gael ei ddisodli.
Actifadu yw hanner arall y llif. Mae generadur sy'n datgloi gyda chod cyfrinair y ddyfais, anogwr biometrig neu gynhwysydd wedi'i amgryptio yn cyflwyno prawf meddiant ynghyd â rhywbeth arall. Un sy'n rhedeg heb amgryptio ac yn datgloi gyda sesiwn y system weithredu yn cyflwyno'r ffeil yn unig. Gall yr un cymhwysiad gynnig y ddau drefniant yn dibynnu ar sut y gwnaed y cofrestriad, felly mae'r penderfyniad defnyddio yn gorwedd yn y cam hwnnw, nid ar dudalen farchnata'r ap.
Penderfynwch beth mae'r cod yn ei brofi mewn gwirionedd
Mae iaith y safonau yn anarferol o glir yma, ac yn werth ei darllen yn uniongyrchol. Canllaw dilyswyr NIST yn rhestru generaduron OTP meddalwedd fel dilyswyr, yn gwahaniaethu rhwng OTP un-ffactor ac OTP aml-ffactor ag ffactor actifadu, ac yn datgan nad yw dilysu OTP yn gwrthsefyll twyll. Mae pob un o'r tair cymal hynny yn newid yr hyn y gallwch ei honni am yr ymholiad.
Mae diffyg gwrthsefyll twyll yn yr ymyl llymaf. Gall cod a deipiwyd i faes gael ei deipio i faes rhywun arall, mewn amser real, gan berson y cafwyd perswâd arno i wneud hynny. Mae'r ffenestr yn fyr, sy'n lleihau nifer yr ymgeisiau defnyddiol ond nid yw'n cau'r dechneg. Os yw eich gofyniad yn cynnwys gwrthsefyll hynny, OTP yw'r cyntefig anghywir ni waeth ble mae'r generadur yn rhedeg.
Un-ffactor yn erbyn aml-ffactor yw'r ail wahaniaeth. Mae cod sy'n ymddangos heb gam actifadu yn profi meddiant ffeil a dim arall, ac mae'r ffeil mor gryf â'r cyfrif sy'n gallu ei darllen. Ychwanegwch ffactor actifadu ac mae'r honiad yn gwella, er ei fod yn dal i ddisgrifio'r prawf a gyflwynwyd wrth fewngofnodi yn hytrach nag arwahanrwydd y peiriant sy'n ei gynhyrchu.
Gwelwch beth y gall gliniadur cyfaddawd ei gyrraedd
Nid yw ymosodwr â gweithredu cod ar y gweithorsaf yn gyfyngedig i ddarllen y maes yr ydych yn teipio iddo. Mae'r sesiwn a sefydlir ar ôl mewngofnod llwyddiannus fel arfer yn docyn neu'n gwci, a gellir defnyddio tocyn o beiriant arall heb unrhyw god o gwbl. Os dyna'r gallu yr ydych yn amddiffyn yn ei erbyn, mae ychwanegu ail ymholiad wrth fewngofnodi yn newid nifer y camau yn yr ymosodiad, nid y canlyniad.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Darllenwch y drydedd golofn fel yr un onest. Mae pob trefniant uchod yn gadael rhywbeth o fewn ffin ymddiriedaeth y gweithorsaf, oherwydd dyna lle defnyddir y sesiwn. Yr hyn sy'n newid yw a yw'r gyfrinach hirhoedlog yn teithio gyda'r ffin honno neu'n aros y tu allan iddi, ac a yw'r prawf wedi'i rwymo i darddiad penodol fel na all tudalen debyg ei hailgludo.
Mae dau fanylyn llai yn perthyn i'r un darlun. Mae cod yn parhau'n ddilys trwy ei ffenestr dderbyn, yn aml ddeg ar hugain o eiliadau ynghyd â goddefgarwch i wyriad cloc, felly gellir ailchwarae gwerth a ddaliwyd o fewn y ffenestr honno oni bai bod y dilysydd yn gwrthod ailddefnydd. Ac nid yw gosod generadur newydd yn terfynu sesiynau a ddilyswyd yn barod, felly mae sesiwn hen yn goroesi'r newid tysteb a oedd i fod i atal y digwyddiad.
Symudwch y generadur yn unig lle mae gwahanu yn helpu
Mae rhoi'r generadur codau ar ffôn yn welliant gwirioneddol ar gyfer un methiant penodol: nid yw gliniadur a ladratwyd yn cario'r ddau brawf mwyach. Nid yw'n gwneud dim ar gyfer cipio sesiwn ar y gliniadur, dim ar gyfer defnyddiwr sy'n teipio cod i dudalen twyll, a dim ar gyfer y codau adfer a argraffwyd unwaith ac a ffotograffwyd i ap nodiadau.
Felly ysgrifennwch y gofyniad cyn dewis yr offeryn. Os mai'r nod yw prawf ychwanegol yn erbyn cyfrinair sydd wedi gollwng, dywedwch hynny'n blain, ac mae ap yr un ddyfais eisoes yn ei ddanfon. Os mai'r nod yw gwydnwch yn erbyn cyfaddawd gweithorsaf VPN, enwch y gallu ymosodol hwnnw a dewiswch drefniant a aseswyd ar ei gyfer, gyda'r gofyniad twyll wedi'i nodi ar wahân yn hytrach na'i dybio.
Yna triniwch yr hanner gweithredol, sy'n penderfynu a yw unrhyw ran o hynny yn goroesi cwrdd â digwyddiad. Mae colli dyfais angen llwybr disodli wedi'i ddogfennu, mae cylchdroi tysteb angen dirymu sesiynau gweithredol, ac mae deunydd cofrestru angen yr un amddiffyniad â'r had, gan fod copi cofrestru heb ei amddiffyn yn rhoi'r un codau yn y dyfodol i ymosodwr ar lwybr byrrach. Mae rhestru'r pedair eitem hynny yn fwy defnyddiol na dadlau a yw tocynnau ar yr un ddyfais yn dda neu'n ddiwerth.