Nid yw dau gais cyfrinair yn MFA: beth mae mewngofnodi VPN yn ei wirio

Mae’r dudalen fewngofnodi’n gofyn am gyfrinair, yna am ail gyfrinach, ac mae’r defnydd yn cael ei ddisgrifio ar unwaith fel un aml-ffactor. Weithiau felly y mae. Yn aml un ffactor a gasglwyd ddwywaith yw hi, oherwydd gwybodaeth yw’r ddau werth a deipiodd yr un person o’r un cof neu o’r un nodyn. Nid yw seiffr twnnel cryf yn newid hynny, ac nid yw’r gair „diogel“ yn enw’r cynnyrch chwaith.

Mae gwahanu’r honiad oddi wrth y mecanwaith yn gofyn un cwestiwn: beth mae pob cam yn ei brofi, ac i bwy?

Prawf yw ffactor, nid maes

Mae dilysu aml-ffactor yn golygu bod mwy nag un math gwahanol o brawf yn cael ei wirio ar gyfer yr un cyfrif: rhywbeth y mae’r defnyddiwr yn ei wybod, rhywbeth y mae’n ei feddu, rhywbeth yw ef. Mae dau faes sy’n casglu llinyn a gofir y nail a’r llall yn un math o brawf a ofynnir ddwywaith. Gall hynny fod yn reolaeth ddefnyddiol, gan fod dau gyfrinach annibynnol yn anos eu dyfalu nag un, ond nid dyna a ddisgrifir gan y term ac ni ddylid ei gyfrif felly mewn asesiad risg.

Mae’r ochr wirio yr un mor bwysig â’r ochr gasglu. Nid yw cod a gynhyrchir ar ddyfais yn profi rheolaeth ar y ddyfais honno oni bai bod y gweinydd yn ei wirio yn erbyn cyfrinach sy’n rhwym wrth y cyfrif hwn ac yn gwrthod ailadroddiadau. Mae cod a rennir sy’n gweithio i bawb, cod heb derfyn, neu gais a gymeradwywyd ar ddyfais nad yw byth yn dangos beth sy’n cael ei gymeradwyo i gyd yn wannach nag y mae’r label yn ei awgrymu.

Felly pan fo rhywun yn gofyn a oes gan y VPN MFA, gofynnwch beth mae’r ail gam yn ei brofi a sut mae’r gweinydd yn ei rwymo. Os mai’r ateb yw „ail gyfrinair o’r un cyfeiriadur“, mae gennych un ffactor a sgwrs am bolisi, nid ail ffactor.

Mae achos’r dystysgrif angen ei ddarllen, nid ei dybio

Mae tystysgrif cleient ynghyd â chyfrinair yn edrych fel dau ffactor, a gall fod: cedwir y dystysgrif mewn storfa neu ar docyn, a choffir y cyfrinair. Gall hefyd fod yn un, os yw ffeil y dystysgrif yn gorwedd heb ei diogelu yn yr un cyfeiriadur proffil â’r cyfrinair a arbedwyd, neu os cyhoeddwyd y dystysgrif ar gyfer dyfais y mae sawl person yn ei rhannu heb atebolrwydd unigol.

Y cwestiwn i’w setlo yw pwy neu beth mae’r dystysgrif yn ei adnabod. Mae tystysgrif dyfais yn profi bod peiriant a reolir yn bresennol. Mae tystysgrif defnyddiwr yn profi hunaniaeth. Os yw’r defnydd yn cyhoeddi un dystysgrif i bob gliniadur ac yna’n trin ei phresenoldeb fel prawf o’r person, mae’r ail ffactor wedi troi’n dawel yn eiddo i galedwedd y mae pwy bynnag sy’n dal y gliniadur yn ei etifeddu.

Nid oes unrhyw un o’r rhain yn gwneud tystysgrifau yn syniad gwael. Mae’n gwneud y gwahaniaeth rhwng sicrwydd dyfais a sicrwydd defnyddiwr yn werth ei ysgrifennu, oherwydd mae’r ddau yn ateb cwestiynau gwahanol a bydd taenlen gydymffurfio sy’n eu cyfrif fel un yn goramcangyfrif beth sy’n cael ei warchod.

Mae ymddiriedaeth yn y porth a ffydd yn y defnyddiwr yn broblemau ar wahân

Nid yw ail ffactor yn gwneud teipio manylion mewngofnodi i bennawd nad ydych wedi’i wirio yn ddiogel. Rhaid i’r cleient adnabod y porth a fwriadwyd, a dyna yw pwrpas tystysgrif y gweinydd a chyfluniad ymddiriedaeth y cleient. Mae gwe-rwydo’n gweithio trwy symud y mewngofnodi i weinydd a reolir gan ymosodwr, ac mae cod un-tro cywir a deipir yno yn cael ei drosglwyddo’n syml i’r gwasanaeth go iawn mewn amser real.

Dyna pam mae dewis dull yn newid y canlyniad mwy na geiriau’r cais. Gall unrhyw un sy’n gallu dangos tudalen ddarbwyllol drosglwyddo codau a deipir gan berson, tra bod dulliau cryptograffig sy’n rhwymo’r dilysu wrth y tarddiad a’r sesiwn penodol yn gwrthsefyll y trosglwyddiad hwnnw yn ôl eu cynllun. Pa un o’r ddau sydd gennych yw priodwedd y dull, nid nifer y camau yn y blwch deialog.

Dilynwch y broses gofrestru a llif y cleient a gefnogir gan y cyflenwr yn hytrach na bolltio cais ychwanegol ar faes cyfrinair. Mae ail gam cartref fel arfer yn glanio rhywle yn y canol, gan ychwanegu ffrithiant heb y rhwymiad sy’n gwneud y ffactor yn ystyrlon.

Adferiad yw’r ail ddrws ffrynt

Mae gan bob mewngofnodi cryf ffordd yn ôl pan gollir y dilysydd, a dyna’r ffordd sydd fel arfer yn wannaf yn y cynllun. Os yw asiant cymorth yn gallu ailosod yr ail ffactor ar ôl galwad i rif sydd ar gofnod, y llwybr rhataf i’r ymosodwr yw’r ddesg gymorth, nid y dudalen fewngofnodi.

Gofynnwch sut mae disodli’n gweithio, pwy sy’n ei gymeradwyo a pha dystiolaeth a geisir. Yna gwiriwch fod deunydd adfer megis codau wrth gefn yn cael ei storio ar wahân i’r manylion mewngofnodi sylfaenol, fel nad yw un cyfaddawd yn ildio’r ddau. Mae canllaw NIST ar hunaniaeth ddigidol yn trin rhwymiad y gwiriedydd a chylch bywyd y dilysydd fel rhan o’r gofyniad, nid fel ailfeddwl gweithredol.

Beth i’w ysgrifennu yn yr asesiad

Disgrifiwch y ffactorau yn ôl math, enwch beth mae pob un yn ei brofi a nodwch sut mae’n rhwym wrth y cyfrif. Nodwch a yw’r dull yn gwrthsefyll trosglwyddiad, a disgrifiwch y llwybr adfer gyda’r un gofal â’r mewngofnodi.

Yna dywedwch yn blwmp ac yn blaen a yw’r defnydd yn aml-ffactor yn ôl y diffiniad hwnnw. Mae „Dau gyfrinair a thystysgrif peiriant“ yn frawddeg onest, ac mae’n dweud llawer mwy wrth ddarllenydd na blwch ticio sy’n dweud ie.