Είναι πραγματικά δεύτερος παράγοντας το TOTP στο ίδιο laptop;
Μια γεννήτρια κωδικών στο laptop του VPN είναι παράγοντας κατοχής που βρίσκεται μέσα στο ίδιο όριο παραβίασης. Ακολουθήστε πρώτα τον σπόρο και τη συνεδρία.
Συνδεθείτε σε έναν πελάτη VPN που ζητά πρώτα κωδικό πρόσβασης και μετά εξαψήφιο κωδικό, και τα δύο αιτήματα μοιάζουν με δύο ανεξάρτητα εμπόδια. Αν τα μετρήσουμε κατά τύπο παράγοντα, είναι: ο κωδικός πρόσβασης είναι κάτι που γνωρίζετε, ο κωδικός είναι κάτι που κατέχετε. Αν τα μετρήσουμε κατά το τι εκθέτει ένα μόνο παραβιασμένο laptop, μπορούν να καταρρεύσουν σε ένα όριο, γιατί αυτό που κατέχετε είναι ένα αρχείο στο μηχάνημα όπου πληκτρολογείτε. Το κενό ανάμεσα σε αυτές τις δύο μετρήσεις είναι το θέμα αυτής της ανάλυσης.
Ακολουθήστε μία σύνδεση από το πεδίο κωδικού πρόσβασης στο πεδίο κωδικού
Παρακολουθήστε την ακολουθία, όχι τις ετικέτες. Ο πελάτης στέλνει τον κωδικό πρόσβασης, ο διακομιστής απαντά ότι απαιτείται δεύτερη απόδειξη, και ο πελάτης ανοίγει πεδίο για έξι ή οκτώ ψηφία. Πίσω από αυτό το πεδίο βρίσκεται μια εφαρμογή γεννήτρια που κρατά ένα κοινόχρηστο μυστικό και ένα ρολόι. Υπολογίζει μια τιμή από το μυστικό και το τρέχον βήμα χρόνου, και ο διακομιστής επαναϋπολογίζει την ίδια τιμή από το δικό του αντίγραφο του μυστικού.
Και οι δύο πλευρές κρατούν το ίδιο υλικό κλειδιού. Αυτή η συμμετρία είναι το σημείο που χάνουν οι άνθρωποι όταν περιγράφουν τον κωδικό ως μυστικό: ο πάροχος μπορεί να παράγει και τους δικούς σας κωδικούς, γι' αυτό ο σπόρος αξίζει περισσότερο από οποιαδήποτε μεμονωμένη έξοδο. Ένας κωδικός που διαρρέει είναι τιμή μίας χρήσης· ο σπόρος που τον παρήγαγε είναι μόνιμο διαπιστευτήριο που συνεχίζει να παράγει έγκυρες τιμές μέχρι να αντικατασταθεί.
Η ενεργοποίηση είναι το άλλο μισό της ροής. Μια γεννήτρια που ξεκλειδώνει με κωδικό της συσκευής, βιομετρικό αίτημα ή κρυπτογραφημένο κοντέινερ παρουσιάζει απόδειξη κατοχής συν κάτι άλλο. Μια που τρέχει χωρίς κρυπτογράφηση και ξεκλειδώνει με τη συνεδρία του λειτουργικού συστήματος παρουσιάζει μόνο το αρχείο. Η ίδια εφαρμογή μπορεί να προσφέρει και τις δύο διατάξεις ανάλογα με το πώς έγινε η εγγραφή, άρα η απόφαση ανάπτυξης βρίσκεται σε εκείνο το βήμα, όχι στη σελίδα μάρκετινγκ της εφαρμογής.
Αποφασίστε τι αποδεικνύει στην πραγματικότητα ο κωδικός
Η γλώσσα των προτύπων είναι ασυνήθιστα σαφής εδώ και αξίζει άμεση ανάγνωση. Οι οδηγίες του NIST για αυθεντικοποιητές κατατάσσουν τις γεννήτριες OTP λογισμικού στους αυθεντικοποιητές, διακρίνουν το OTP ενός παράγοντα από το OTP πολλαπλών παραγόντων με παράγοντα ενεργοποίησης, και δηλώνουν ότι η αυθεντικοποίηση OTP δεν αντιστέκεται στο phishing. Καθεμία από αυτές τις τρεις ρήτρες αλλάζει τι μπορείτε να ισχυριστείτε για το αίτημα.
Η έλλειψη αντίστασης στο phishing είναι η πιο κοφτερή άκρη. Ένας κωδικός που πληκτρολογείται σε πεδίο μπορεί να πληκτρολογηθεί στο πεδίο κάποιου άλλου, σε πραγματικό χρόνο, από άνθρωπο που πείστηκε να το κάνει. Το παράθυρο είναι σύντομο, κάτι που μειώνει τον αριθμό των χρήσιμων προσπαθειών αλλά δεν κλείνει την τεχνική. Αν η απαίτησή σας περιλαμβάνει αντίσταση σε αυτό, το OTP είναι το λάθος πρωτόγονο όπου κι αν τρέχει η γεννήτρια.
Ο ένας παράγοντας έναντι των πολλών είναι η δεύτερη διάκριση. Ένας κωδικός που εμφανίζεται χωρίς βήμα ενεργοποίησης αποδεικνύει κατοχή αρχείου και τίποτα άλλο, και το αρχείο είναι τόσο ισχυρό όσο ο λογαριασμός που μπορεί να το διαβάσει. Προσθέστε παράγοντα ενεργοποίησης και ο ισχυρισμός βελτιώνεται, αν και εξακολουθεί να περιγράφει την απόδειξη που παρουσιάζεται στη σύνδεση, όχι την απομόνωση του μηχανήματος που την παράγει.
Δείτε τι μπορεί να φτάσει ένα παραβιασμένο laptop
Ένας επιτιθέμενος με εκτέλεση κώδικα στον σταθμό εργασίας δεν περιορίζεται στην ανάγνωση του πεδίου όπου πληκτρολογείτε. Η συνεδρία που εγκαθίσταται μετά από επιτυχή σύνδεση είναι συνήθως διακριτικό ή cookie, και ένα διακριτικό μπορεί να χρησιμοποιηθεί από άλλο μηχάνημα χωρίς καθόλου κωδικό. Αν αυτή είναι η ικανότητα κατά της οποίας αμύνεστε, η προσθήκη δεύτερου αιτήματος στη σύνδεση αλλάζει τον αριθμό των βημάτων της επίθεσης, όχι το αποτέλεσμα.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Διαβάστε την τρίτη στήλη ως την ειλικρινή. Κάθε διάταξη παραπάνω αφήνει κάτι μέσα στο όριο εμπιστοσύνης του σταθμού εργασίας, γιατί εκεί χρησιμοποιείται η συνεδρία. Αυτό που αλλάζει είναι αν το μακρόβιο μυστικό ταξιδεύει με αυτό το όριο ή μένει έξω από αυτό, και αν η απόδειξη είναι δεσμευμένη σε συγκεκριμένη προέλευση ώστε μια πανομοιότυπη σελίδα να μην μπορεί να την προωθήσει.
Δύο μικρότερες λεπτομέρειες ανήκουν στην ίδια εικόνα. Ένας κωδικός παραμένει έγκυρος για το παράθυρο αποδοχής του, συχνά τριάντα δευτερόλεπτα συν ανοχή στην απόκλιση του ρολογιού, ώστε μια τιμή που καταγράφηκε να μπορεί να αναπαραχθεί μέσα σε αυτό το παράθυρο, εκτός αν ο επαληθευτής αρνηθεί την επαναχρησιμοποίηση. Και η εγκατάσταση νέας γεννήτριας δεν τερματίζει συνεδρίες που έχουν ήδη αυθεντικοποιηθεί, άρα μια παλιά συνεδρία επιβιώνει της αλλαγής διαπιστευτηρίων που υποτίθεται ότι θα περιόριζε το περιστατικό.
Μετακινήστε τη γεννήτρια μόνο εκεί όπου ο διαχωρισμός βοηθά
Η τοποθέτηση της γεννήτριας κωδικών σε τηλέφωνο είναι πραγματική βελτίωση για μία συγκεκριμένη αποτυχία: ένα κλεμμένο laptop δεν φέρει πλέον και τις δύο αποδείξεις. Δεν κάνει τίποτα για αρπαγή συνεδρίας στο laptop, τίποτα για χρήστη που πληκτρολογεί κωδικό σε σελίδα phishing, και τίποτα για τους κωδικούς ανάκτησης που τυπώθηκαν μία φορά και φωτογραφήθηκαν σε εφαρμογή σημειώσεων.
Γράψτε λοιπόν την απαίτηση πριν διαλέξετε το εργαλείο. Αν ο στόχος είναι μια πρόσθετη απόδειξη κατά διαρρευσμένου κωδικού πρόσβασης, πείτε το καθαρά, και η εφαρμογή στην ίδια συσκευή την παρέχει ήδη. Αν ο στόχος είναι ανθεκτικότητα στην παραβίαση του σταθμού εργασίας VPN, ονομάστε αυτή την ικανότητα του επιτιθέμενου και διαλέξτε διάταξη αξιολογημένη γι' αυτήν, με την απαίτηση phishing διατυπωμένη χωριστά αντί να θεωρείται δεδομένη.
Έπειτα χειριστείτε το επιχειρησιακό μισό, που αποφασίζει αν κάτι από όλα αυτά επιβιώνει από επαφή με περιστατικό. Η απώλεια συσκευής χρειάζεται τεκμηριωμένη διαδρομή αντικατάστασης, η εναλλαγή διαπιστευτηρίων χρειάζεται ανάκληση ενεργών συνεδριών, και το υλικό εγγραφής χρειάζεται την ίδια προστασία με τον σπόρο, αφού ένα απροστάτευτο αντίγραφο εγγραφής δίνει σε επιτιθέμενο τους ίδιους μελλοντικούς κωδικούς από συντομότερη διαδρομή. Η απαρίθμηση αυτών των τεσσάρων σημείων είναι πιο χρήσιμη από το να μαλώνουμε αν τα διακριτικά στην ίδια συσκευή είναι καλά ή άχρηστα.