Cais MFA VPN wedi’i wrthod: beth ddylai’r cleient ei wneud

Mae cais MFA wedi’i wrthod yn edrych fel problem rwydwaith, ac nid yw. Gofynnodd y gweinydd am ail ffactor, daeth y ffactor yn ôl yn negyddol neu ni chyrhaeddodd o gwbl, a gwrthodwyd y sesiwn cyn bod unrhyw dwnnel yn bodoli. Yr hyn sy’n digwydd nesaf yw cwestiwn o ymddygiad y cleient: dangos y methiant a gadael i’r defnyddiwr ddechrau ymgais lân, neu ailgeisio mewn ffyrdd sy’n creu mwy o geisiadau ac yn y pen draw yn sbarduno amddiffyniad y cyfrif. Yr ail lwybr yw sut mae un cod wedi’i deipio’n anghywir yn dod yn gyfrif wedi’i gloi.

Gwiriwch pa gais a fethodd

Dechreuwch drwy nodi pa gais a fethodd. Mae hysbysiad gwthio, cod TOTP, honiad FIDO a llif SAML yn methu yn wahanol i’w gilydd, ac mae’r cleient fel arfer yn gwybod pa un y gofynnodd amdano. Mae gwrthodiad, her sydd wedi dod i ben, a methiant danfoniad na chyrhaeddodd y ddyfais byth i gyd yn gorffen yn yr un gwall cyffredinol, felly cyflwr y cleient ei hun yn aml yw’r unig le mae’r gwahaniaeth yn goroesi.

Mae’r cyflwr hwnnw’n werth ei gofnodi’n fanwl. Cofnodwch y dynodwr her neu gyfeirnod y trafodiad, y math o ffactor, y stamp amser a’r canlyniad, ond byth y cod na’r honiad. Dynodwr her yw’r hyn sy’n caniatáu i weinyddwr ddod o hyd i’r digwyddiad ar ochr y darparwr hunaniaeth; hebddi, mae’r sgwrs gymorth yn dechrau gyda “ryw dro yn ystod yr awr ddiwethaf” ac fel arfer yn gorffen yno. Triniwch ef fel metadata diagnostig, nid fel cyfrinach.

Ailgeisiwch unwaith, yn fwriadol, gyda her newydd

Dylai ailgais fod yn ymgais newydd gyda her newydd, nid yn ailchwarae’r hen un. Pan fydd y cleient yn ailddefnyddio’r her flaenorol, mae’r darparwr hunaniaeth naill ai yn ei gwrthod fel un hen ffasiwn neu, yn waeth, yn derbyn cymeradwyaeth a oedd ar gyfer yr ymgais gynharach. Gofynnwch am her ffres, dangoswch hi, a gadewch i’r defnyddiwr weithredu ar yr un sydd ar y sgrin ar hyn o bryd.

Mae dwy ymgais â seibiant byr rhyngddynt yn ddiffyg rhesymol; nid yw dolen ddiderfyn. Os bydd yr ail ymgais yn methu yr un ffordd, stopiwch ac adroddwch yn hytrach na pharhau.

Beth na ddylai’r cleient ei wneud

Ni ddylai’r cleient wneud sawl peth sy’n edrych yn ddefnyddiol ac nad ydynt. Ni ddylai barhau i anfon hysbysiadau gwthio nes bod rhywun yn tapio “cymeradwyo”, oherwydd mae hynny’n hyfforddi defnyddwyr i gymeradwyo ceisiadau na wnaethant eu dechrau, ac mae’n union yr ymddygiad y mae citiau gwe-rwydo yn dibynnu arno. Ni ddylai ddisgyn yn ôl i ffactor wannach oherwydd bod yr un cryf wedi methu, ac ni ddylai analluogi’r gwiriad hunaniaeth gweinydd i fynd heibio cwyn tystysgrif a ymddangosodd ar yr un pryd. Mae pob un o’r tair llwybr byr yn troi methiant dilysu yn ddigwyddiad diogelwch.

Hefyd ni ddylai lyncu’r methiant yn dawel. Mae cleient sy’n cau’r cysylltiad ac yn dangos troellwr yn gadael y defnyddiwr heb unrhyw syniad a ddylai ailgeisio, aros neu ffonio cymorth. Dangoswch y methiant gyda’r math o ffactor a chod byr, cadwch y neges yn rhydd o gyfrinachau, a gwnewch y weithred ailgeisio yn amlwg yn hytrach nag yn awtomatig.

Os na ddechreuodd y person wrth y bysellfwrdd y cais, y weithred gywir yw ei adael wedi’i wrthod a’i adrodd drwy’r llwybr cymorth sydd wedi’i wirio. Cymeradwyo cais i atal y sŵn yw’r modd methu, nid yr ateb.

Beth i’w gofnodi ar gyfer cymorth

Ar gyfer cymorth, mae’r cofnod defnyddiol yn fach. Yr amser bras gyda’r parth amser, y cyfrif, y cleient a’r fersiwn, y math o ffactor, a statws nad yw’n gyfrinachol pob ymgais: gofynnwyd, gwrthodwyd, dod i ben, cymeradwyo ond wedi’i wrthod gan bolisi.

Cadwch gliociau’r cleient a’r gweinydd mewn golwg hefyd. Mae TOTP yn wiriad ffenestr amser, felly mae dyfais y mae ei chloc wedi symud yn cynhyrchu codau sy’n edrych yn ddilys ac yn methu bob tro, ac mae cleient sy’n adrodd cod annilys heb nodi’r symudiad yn anfon pobl i ailosod cyfrineiriau nad oeddent erioed yn anghywir. Dylai defnyddiwr y mae ei fewngofnodiad yn methu dro ar ôl tro wirio’r fersiwn cleient a gefnogir, cyflwr cofrestru, a’r llif adfer sydd wedi’i ddogfennu cyn cynhyrchu mwy o geisiadau.

Mae’r llwybr adfer yn haeddu’r un gofal â’r llwybr mewngofnodi. Llif gwaith ar gyfer dyfais goll sy’n bodoli’n union fel na fydd gwrthodiad yn dod yn ganiatâd i osgoi dilysu, a dylai cleient gysylltu â phroses ddogfennol y sefydliad yn hytrach nag un ar ei liwt ei hun.

Y rheol i adeiladu yn ei herbyn yw bod gwrthodiad yn ganlyniad, nid yn rhwystr. Adroddwch ef unwaith, yn glir, gyda digon o gyd-destun i weithredu arno, a gadewch i’r ymgais nesaf fod yn un newydd. Mae canllaw CISA ar MFA sy’n gwrthsefyll gwe-rwydo yn egluro pam mae’r patrwm “gofyn nes cael cymeradwyaeth” yn beryglus yn y lle cyntaf, a dyna’r cyfeiriad sy’n werth ei grybwyll pan fydd rhywun yn cynnig dolen ailgeisio. Dylai popeth y mae’r cleient yn ei ychwanegu ar ôl gwrthodiad wneud y penderfyniad nesaf yn haws i berson, nid tynnu’r penderfyniad oddi wrtho.