Du pasvortaj demandoj ne estas MFA: kion kontrolas VPN-ensaluto

La ensaluta paĝo petas pasvorton, poste duan sekreton, kaj la deplojo tuj priskribiĝas kiel plurfaktora. Foje ĝi estas. Ofte ĝi estas unu faktoro kolektita dufoje, ĉar ambaŭ valoroj estas scioj, kiujn la sama persono tajpis el la sama memoro aŭ la sama noto. Forta tunela ĉifro tion ne ŝanĝas, kaj nek la vorto “sekura” en la produkta nomo.

Apartigi la aserton de la mekanismo postulas unu demandon: kion pruvas ĉiu paŝo, kaj al kiu?

Faktoro estas pruvo, ne kampo

Plurfaktora aŭtentikigo signifas, ke pli ol unu distinga speco de pruvo estas kontrolata por la sama konto: io, kion la uzanto scias, io, kion li posedas, io, kio li estas. Du kampoj, kiuj ambaŭ kolektas memoritan signoĉenon, estas unu speco de pruvo petita dufoje. Tio povas esti utila kontrolo, ĉar du sendependaj sekretoj estas pli malfacile diveneblaj ol unu, sed ĝi ne estas tio, kion la termino priskribas, kaj ĝi ne devus esti kalkulita kiel tia en riska takso.

La kontrolflanko gravas same kiel la kolekta flanko. Kodo generita sur aparato pruvas regadon super tiu aparato nur se la servilo kontrolas ĝin kontraŭ sekreto ligita al ĉi tiu konto kaj rifuzas ripetojn. Komunigita kodo, kiu funkcias por ĉiuj, kodo sen limigo de provoj aŭ peto aprobita sur aparato, kiu neniam montras, kio estas aprobata, ĉiuj estas pli malfortaj ol la etikedo sugestas.

Do kiam iu demandas, ĉu la VPN havas MFA, demandu, kion la dua paŝo pruvas kaj kiel la servilo ligas ĝin. Se la respondo estas “dua pasvorto el la sama dosierujo”, vi havas unu faktoron kaj politikan konversacion, ne duan faktoron.

La atestila kazo bezonas legadon, ne supozon

Klienta atestilo plus pasvorto aspektas kiel du faktoroj, kaj ĝi povas esti: la atestilo estas tenata en konservejo aŭ sur ĵetono, kaj la pasvorto estas memorata. Ĝi ankaŭ povas esti unu, se la atestila dosiero sidas neprotektite en la sama profila dosierujo kiel la konservita pasvorto, aŭ se la atestilo estis eldonita por aparato, kiun pluraj homoj kunhavas sen individua respondeco.

La demando solvenda estas, kiun aŭ kion la atestilo identigas. Aparata atestilo pruvas, ke administrata maŝino ĉeestas. Uzanta atestilo pruvas identecon. Se la deplojo eldonas unu atestilon por tekkomputilo kaj poste traktas ĝian ĉeeston kiel pruvon de la persono, la dua faktoro silente fariĝis eco de aparataro, kiun heredas ĉiu, kiu tenas la tekkomputilon.

Nenio el tio igas atestilojn malbona ideo. Ĝi igas la distingon inter aparata garantio kaj uzanta garantio inda je skribo, ĉar la du respondas al malsamaj demandoj kaj komplika kalkultabelo, kiu kalkulas ilin kiel unu, trotaksos, kio estas protektata.

Pordega fido kaj uzanta fido estas apartaj problemoj

Dua faktoro ne igas sekura tajpi legitimilojn en finpunkton, kiun vi ne kontrolis. La kliento devas rekoni la celitan pordegon, kaj por tio estas la servila atestilo kaj la fida agordo de la kliento. Fiŝado funkcias movante la ensaluton al servilo, kiun la atakanto kontrolas, kaj korekta unufoja kodo tajpita tie simple plusendatas al la reala servo en reala tempo.

Tial la elekto de metodo ŝanĝas la rezulton pli ol la vortigo de la peto. Kodojn tajpitajn de persono povas plusendi iu ajn, kiu povas prezenti konvinkan paĝon, dum kriptografiaj metodoj, kiuj ligas la aŭtentikigon al la specifa origino kaj seanco, kontraŭstaras tiun plusendadon projekte. Kiun el la du vi havas, estas eco de la metodo, ne de la nombro da paŝoj en la dialogo.

Sekvu la subtenatan aliĝon kaj klientan fluon de la vendisto anstataŭ ŝraŭbi kroman peton sur pasvortan kampon. Hejmfarita dua paŝo kutime alteriĝas ie inter la du, aldonante frikcion sen la ligo, kiu igas la faktoron signifoplena.

Restaŭro estas la dua ĉefpordo

Ĉiu forta ensaluto havas vojon reen, kiam la aŭtentikigilo perdiĝas, kaj tiu vojo estas tiu, kie la dezajno kutime estas plej malforta. Se subtena agento povas restarigi la duan faktoron post telefona alvoko al numero en la dosiero, la plej malmultekosta vojo de la atakanto estas la helpoteko, ne la ensaluta paĝo.

Demandu, kiel funkcias anstataŭigo, kiu aprobas ĝin kaj kiajn pruvojn ili postulas. Poste kontrolu, ke restaŭra materialo kiel sekurkopoj de kodoj estas konservata aparte de la ĉefa legitimilo, por ke unu kompromito ne transdonu ambaŭ. La gvidlinio pri cifereca identeco de NIST traktas ligadon de kontrolanto kaj vivciklon de aŭtentikigilo kiel parton de la postulo, ne kiel operacian postpenson.

Kion skribi en la takso

Priskribu la faktorojn laŭ speco, nomu, kion ĉiu pruvas, kaj deklaru, kiel ĝi estas ligita al la konto. Notu, ĉu la metodo kontraŭstaras plusendadon, kaj priskribu la restaŭran vojon kun la sama zorgo kiel la ensaluto.

Poste diru klare, ĉu la deplojo estas plurfaktora laŭ tiu difino. “Du pasvortoj kaj maŝina atestilo” estas honesta frazo, kaj ĝi diras al leganto multe pli ol markobutono, kiu diras jes.