Kas TOTP samas sülearvutis on tõesti teine tegur?
Koodigeneraator VPN-i sülearvutis on valdusfaktor, mis asub sama kompromiteerimispiiri sees. Jälgige kõigepealt seemet ja sessiooni.
Logige sisse VPN-kliendisse, mis küsib esmalt parooli ja seejärel kuuekohalist koodi, ning kaks viipa näivad kahe sõltumatu tõkkena. Faktori tüübi järgi loendades ongi: parool on see, mida teate, kood on see, mida valdate. Selle järgi loendades, mida üks kompromiteeritud sülearvuti paljastab, võivad need kokku vajuda üheks piiriks, sest see, mida valdate, on fail masinas, kuhu te trükite. Nende kahe loendi vahe ongi selle ülevaate teema.
Jälgige ühte sisselogimist parooliväljalt koodiväljani
Jälgige järjekorda, mitte silte. Klient saadab parooli, server vastab, et vajatakse teist tõendit, ja klient avab välja kuue või kaheksa numbri jaoks. Selle välja taga on generaatorrakendus, mis hoiab ühiskasutatavat saladust ja kella. See arvutab väärtuse saladusest ja praegusest ajasammust ning server arvutab sama väärtuse uuesti oma saladusekoopi põhjal.
Mõlemad pooled hoiavad sama võtmematerjali. See sümmeetria on osa, mille inimesed jätavad märkamata, kui nad kirjeldavad koodi saladusena: teenusepakkuja saab ka teie koode genereerida, mistõttu on seeme väärtuslikum kui ükskõik milline üksik väljund. Lekkinud kood on ühekordne väärtus; selle tekitanud seeme on püsiv volitus, mis jätkab kehtivate väärtuste tootmist, kuni see asendatakse.
Aktiveerimine on voo teine pool. Generaator, mis avaneb seadme pääsukoodi, biomeetrilise viiba või krüpteeritud konteineriga, esitab valduse tõendi pluss midagi muud. See, mis töötab krüpteerimata ja avaneb operatsioonisüsteemi sessiooniga, esitab ainult faili. Sama rakendus võib pakkuda mõlemat korraldust sõltuvalt sellest, kuidas registreerimine tehti, seega juurutamisotsus asub selles sammus, mitte rakenduse turunduslehel.
Otsustage, mida kood tegelikult tõendab
Standardite keel on siin ebatavaliselt selge ja väärib otsest lugemist. NISTi autentijate juhised loetlevad tarkvaralised OTP-generaatorid autentijate hulka, eristavad ühefaktorilist OTP-d mitmefaktorilisest OTP-st aktiveerimisteguriga ja märgivad, et OTP-autentimine ei ole phishingule vastupidav. Kõik need kolm punkti muudavad seda, mida saate viiba kohta väita.
Phishingule mittevastupidavus on teravaim serv. Väljale trükitud koodi saab reaalajas trükkida kellegi teise väljale inimene, keda on selleks veendud. Aken on lühike, mis vähendab kasulike katsete arvu, kuid ei sulge tehnikat. Kui teie nõue hõlmab sellele vastupanu, on OTP vale primitiiv, olenemata sellest, kus generaator töötab.
Üks faktor mitme faktori vastu on teine eristus. Kood, mis ilmub ilma aktiveerimissammuta, tõendab faili valdamist ja mitte midagi muud, ning fail on sama tugev kui konto, mis suudab seda lugeda. Lisage aktiveerimistegur ja väide paraneb, ehkki see kirjeldab endiselt sisselogimisel esitatud tõendit, mitte seda tootva masina isolatsiooni.
Vaadake, kuhu kompromiteeritud sülearvuti ulatub
Ründaja, kellel on tööjaamas koodi täitmise võimalus, ei piirdu ainult selle välja lugemisega, kuhu te trükite. Eduka sisselogimise järel loodud sessioon on tavaliselt luba või küpsis, ning luba saab kasutada teisest masinast täiesti ilma koodita. Kui see on võime, mille vastu te kaitsete, siis teise viiba lisamine sisselogimisel muudab ründe sammude arvu, mitte tulemust.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Lugege kolmandat veergu ausana. Iga ülaltoodud korraldus jätab midagi tööjaama usalduspiiri sisse, sest sessiooni kasutatakse just seal. Muutub see, kas pikaajaline saladus reisib selle piiriga kaasa või jääb sellest väljapoole, ja kas tõend on seotud konkreetse päritoluga, et jäljendav lehekülg ei saaks seda edasi anda.
Kaks väiksemat üksikasja kuuluvad samasse pilti. Kood jääb kehtima oma vastuvõtuakna jooksul, sageli kolmkümmend sekundit pluss kella hälbe tolerants, seega saab tabatud väärtust selle akna sees uuesti esitada, kui kontrollija ei keeldu korduskasutusest. Ja uue generaatori paigaldamine ei lõpeta juba autenditud sessioone, seega vananenud sessioon elab üle volituse muudatuse, mis oleks pidanud juhtumi piirama.
Liigutage generaatorit ainult sinna, kus eraldamine aitab
Koodigeneraatori telefonile panemine on tõeline parendus ühe konkreetse rikke jaoks: varastatud sülearvuti ei kanna enam mõlemat tõendit. See ei tee midagi sülearvuti sessiooni kaaperdamise vastu, ei tee midagi kasutaja jaoks, kes trükib koodi phishing-lehele, ega tee midagi taastamiskoodide jaoks, mis kord trükiti ja märkmikurakendusse pildistati.
Seega kirjutage nõue enne tööriista valimist. Kui eesmärk on lisatõend lekkinud parooli vastu, öelge seda otse, ja sama seadme rakendus pakub seda juba. Kui eesmärk on vastupidavus VPN-i tööjaama kompromiteerimisele, nimetage see ründaja võime ja valige selle jaoks hinnatud korraldus, kusjuures phishing-nõue sõnastatakse eraldi, mitte ei eeldata.
Seejärel käsitlege operatiivset poolt, mis otsustab, kas midagi sellest elab üle kokkupuute juhtumiga. Seadme kaotus vajab dokumenteeritud asendusteed, volituste rotatsioon vajab aktiivsete sessioonide tühistamist ja registreerimismaterjal vajab sama kaitset kui seeme, sest kaitsmata registreerimiskoopia annab ründajale samad tulevased koodid lühemat teed pidi. Nende nelja punkti loetlemine on kasulikum kui vaidlemine, kas sama seadme load on head või väärtusetud.