Δύο αιτήματα κωδικού δεν είναι MFA: τι επαληθεύει μια σύνδεση VPN

Η σελίδα σύνδεσης ζητά κωδικό, έπειτα ένα δεύτερο μυστικό, και η εγκατάσταση περιγράφεται αμέσως ως πολυπαραγοντική. Μερικές φορές είναι. Συχνά είναι ένας μόνο παράγοντας που συλλέγεται δύο φορές, επειδή και οι δύο τιμές είναι γνώση που το ίδιο άτομο πληκτρολόγησε από την ίδια μνήμη ή την ίδια σημείωση. Μια ισχυρή κρυπτογράφηση σήραγγας δεν το αλλάζει, ούτε η λέξη «ασφαλές» στο όνομα του προϊόντος.

Ο διαχωρισμός του ισχυρισμού από τον μηχανισμό απαιτεί μία ερώτηση: τι αποδεικνύει κάθε βήμα, και σε ποιον;

Ο παράγοντας είναι απόδειξη, όχι πεδίο

Η πολυπαραγοντική αυθεντικοποίηση σημαίνει ότι για τον ίδιο λογαριασμό επαληθεύεται περισσότερο από ένα διακριτό είδος απόδειξης: κάτι που ο χρήστης γνωρίζει, κάτι που κατέχει, κάτι που είναι. Δύο πεδία που και τα δύο συλλέγουν μια συγκρατημένη συμβολοσειρά είναι ένα είδος απόδειξης που ζητείται δύο φορές. Αυτό μπορεί να είναι χρήσιμος έλεγχος, αφού δύο ανεξάρτητα μυστικά είναι δυσκολότερο να μαντευτούν από ένα, αλλά δεν είναι αυτό που περιγράφει ο όρος και δεν θα έπρεπε να μετράει ως τέτοιο σε μια εκτίμηση κινδύνου.

Η πλευρά της επαλήθευσης έχει την ίδια σημασία με την πλευρά της συλλογής. Ένας κωδικός που παράγεται σε μια συσκευή αποδεικνύει τον έλεγχο αυτής της συσκευής μόνο αν ο διακομιστής τον ελέγχει έναντι ενός μυστικού δεσμευμένου σε αυτόν τον λογαριασμό και απορρίπτει τις επαναλήψεις. Ένας κοινόχρηστος κωδικός που λειτουργεί για όλους, ένας κωδικός χωρίς όριο και ένα αίτημα που εγκρίνεται σε συσκευή που δεν δείχνει ποτέ τι εγκρίνεται είναι όλα πιο αδύναμα από ό,τι υπονοεί η ετικέτα.

Έτσι, όταν κάποιος ρωτά αν το VPN έχει MFA, ρωτήστε τι αποδεικνύει το δεύτερο βήμα και πώς ο διακομιστής το δεσμεύει. Αν η απάντηση είναι «ένας δεύτερος κωδικός από τον ίδιο κατάλογο», έχετε έναν παράγοντα και μια συζήτηση πολιτικής, όχι δεύτερο παράγοντα.

Η περίπτωση του πιστοποιητικού θέλει ανάγνωση, όχι υπόθεση

Ένα πιστοποιητικό πελάτη μαζί με κωδικό μοιάζει με δύο παράγοντες, και μπορεί να είναι: το πιστοποιητικό βρίσκεται σε αποθήκη ή σε token, και ο κωδικός θυμάται. Μπορεί επίσης να είναι ένας, αν το αρχείο πιστοποιητικού βρίσκεται απροστάτευτο στον ίδιο κατάλογο προφίλ με τον αποθηκευμένο κωδικό, ή αν το πιστοποιητικό εκδόθηκε για συσκευή που μοιράζονται πολλά άτομα χωρίς ατομική ευθύνη.

Το ζήτημα που πρέπει να λυθεί είναι ποιον ή τι ταυτοποιεί το πιστοποιητικό. Ένα πιστοποιητικό συσκευής αποδεικνύει ότι υπάρχει μια διαχειριζόμενη μηχανή. Ένα πιστοποιητικό χρήστη αποδεικνύει μια ταυτότητα. Αν η εγκατάσταση εκδίδει ένα πιστοποιητικό ανά φορητό υπολογιστή και μετά αντιμετωπίζει την παρουσία του ως απόδειξη του προσώπου, ο δεύτερος παράγοντας έχει γίνει σιωπηλά ιδιότητα του υλικού που κληρονομεί όποιος κρατά τον φορητό.

Τίποτα από αυτά δεν κάνει τα πιστοποιητικά κακή ιδέα. Κάνει τη διάκριση μεταξύ διασφάλισης συσκευής και διασφάλισης χρήστη άξια καταγραφής, γιατί τα δύο απαντούν σε διαφορετικές ερωτήσεις και ένα λογιστικό φύλλο συμμόρφωσης που τα μετρά ως ένα θα υπερεκτιμήσει τι προστατεύεται.

Η εμπιστοσύνη στην πύλη και η εμπιστοσύνη στον χρήστη είναι ξεχωριστά προβλήματα

Ένας δεύτερος παράγοντας δεν κάνει ασφαλή την πληκτρολόγηση διαπιστευτηρίων σε ένα τελικό σημείο που δεν έχετε επαληθεύσει. Ο πελάτης πρέπει να αναγνωρίζει την προβλεπόμενη πύλη, και γι’ αυτό υπάρχουν το πιστοποιητικό του διακομιστή και η ρύθμιση εμπιστοσύνης του πελάτη. Το phishing λειτουργεί μετακινώντας τη σύνδεση σε διακομιστή που ελέγχει ο επιτιθέμενος, και ένας σωστός κωδικός μίας χρήσης που πληκτρολογείται εκεί απλώς προωθείται στην πραγματική υπηρεσία σε πραγματικό χρόνο.

Γι’ αυτό η επιλογή μεθόδου αλλάζει το αποτέλεσμα περισσότερο από τη διατύπωση του αιτήματος. Κωδικούς που πληκτρολογεί ένα άτομο μπορεί να προωθήσει όποιος μπορεί να παρουσιάσει μια πειστική σελίδα, ενώ οι κρυπτογραφικές μέθοδοι που δεσμεύουν την αυθεντικοποίηση στη συγκεκριμένη προέλευση και συνεδρία αντιστέκονται σε αυτή την προώθηση εκ σχεδιασμού. Ποια από τις δύο έχετε είναι ιδιότητα της μεθόδου, όχι ο αριθμός βημάτων στον διάλογο.

Ακολουθήστε τη υποστηριζόμενη εγγραφή και ροή πελάτη του προμηθευτή αντί να βιδώσετε ένα επιπλέον αίτημα σε ένα πεδίο κωδικού. Ένα σπιτικό δεύτερο βήμα συνήθως προσγειώνεται κάπου ανάμεσα, προσθέτοντας τριβή χωρίς τη δέσμευση που κάνει τον παράγοντα ουσιαστικό.

Η ανάκτηση είναι η δεύτερη μπροστινή πόρτα

Κάθε ισχυρή σύνδεση έχει δρόμο επιστροφής όταν χαθεί ο αυθεντικοποιητής, και αυτός ο δρόμος είναι συνήθως το πιο αδύναμο σημείο του σχεδιασμού. Αν ένας εκπρόσωπος υποστήριξης μπορεί να επαναφέρει τον δεύτερο παράγοντα μετά από τηλεφώνημα σε αριθμό που είναι καταχωρημένος, η φθηνότερη διαδρομή του επιτιθέμενου είναι η υπηρεσία υποστήριξης, όχι η σελίδα σύνδεσης.

Ρωτήστε πώς λειτουργεί η αντικατάσταση, ποιος την εγκρίνει και ποια στοιχεία απαιτούν. Έπειτα ελέγξτε ότι το υλικό ανάκτησης, όπως οι εφεδρικοί κωδικοί, φυλάσσεται χωριστά από το κύριο διαπιστευτήριο, ώστε μια παραβίαση να μην παραδίδει και τα δύο. Οι οδηγίες του NIST για την ψηφιακή ταυτότητα αντιμετωπίζουν τη δέσμευση του επαληθευτή και τον κύκλο ζωής του αυθεντικοποιητή ως μέρος της απαίτησης, όχι ως λειτουργική εκ των υστέρων σκέψη.

Τι να γράψετε στην αξιολόγηση

Περιγράψτε τους παράγοντες κατά είδος, ονομάστε τι αποδεικνύει ο καθένας και δηλώστε πώς είναι δεσμευμένος στον λογαριασμό. Σημειώστε αν η μέθοδος αντιστέκεται στην προώθηση, και περιγράψτε τη διαδρομή ανάκτησης με την ίδια φροντίδα όπως τη σύνδεση.

Έπειτα πείτε καθαρά αν η εγκατάσταση είναι πολυπαραγοντική κατά αυτόν τον ορισμό. «Δύο κωδικοί και ένα πιστοποιητικό μηχανής» είναι μια έντιμη πρόταση, και λέει στον αναγνώστη πολύ περισσότερα από ένα πλαίσιο ελέγχου που λέει ναι.