Kaks parooliküsimust ei ole MFA: mida VPN-sisselogimine tõendab

Sisselogimisleht küsib parooli, seejärel teist saladust, ja juurutust kirjeldatakse kohe mitmefaktorilisena. Mõnikord on see nii. Sageli on see üks faktor, mis on kogutud kaks korda, sest mõlemad väärtused on teadmised, mille sama inimene tipib samast mälust või samast märkmest. Tugev tunnelisiffer ei muuda seda ja ka sõna „turvaline” tootenimes ei muuda.

Väite mehhanismist eraldamiseks piisab ühest küsimusest: mida iga samm tõendab ja kellele?

Faktor on tõend, mitte väli

Mitmefaktoriline autentimine tähendab, et sama konto jaoks kontrollitakse rohkem kui üht erinevat liiki tõendit: seda, mida kasutaja teab, seda, mida ta omab, seda, kes ta on. Kaks välja, mis mõlemad koguvad meeldejäänud stringi, on üks tõendiliik, mida küsitakse kaks korda. See võib olla kasulik kontroll, sest kahte sõltumatut saladust on raskem ära arvata kui ühte, kuid see ei ole see, mida termin kirjeldab, ja riskihinnangus ei tohiks seda nii arvestada.

Kontrollimise pool on sama oluline kui kogumise pool. Seadmes genereeritud kood tõendab kontrolli selle seadme üle ainult siis, kui server kontrollib seda selle konto külge seotud saladuse vastu ja lükkab tagasi kordused. Ühine kood, mis toimib kõigile, piiramatu kood või seadmes kinnitatud päring, mis ei näita kunagi, mida kinnitatakse, on kõik nõrgemad, kui silt vihjab.

Nii et kui keegi küsib, kas VPN-il on MFA, küsige, mida teine samm tõendab ja kuidas server selle seob. Kui vastus on „teine parool samast kataloogist”, on teil üks faktor ja poliitikaarutelu, mitte teine faktor.

Sertifikaadi juhtumit tuleb lugeda, mitte eeldada

Kliendisertifikaat pluss parool näeb välja nagu kaks faktorit ja võib seda ollagi: sertifikaat on hoidlas või tokenil, parool jääb meelde. See võib olla ka üks, kui sertifikaadifail on kaitsmata samas profiilikaustas salvestatud parooliga, või kui sertifikaat on välja antud seadmele, mida mitu inimest jagavad ilma individuaalse vastutuseta.

Lahendamist vajav küsimus on, keda või mida sertifikaat identifitseerib. Seadmesertifikaat tõendab, et hallatav masin on kohal. Kasutajasertifikaat tõendab identiteeti. Kui juurutus annab ühe sertifikaadi sülearvuti kohta ja käsitleb seejärel selle olemasolu inimese tõendina, on teisest faktorist vaikselt saanud riistvara omadus, mille pärib igaüks, kes sülearvutit hoiab.

Miski sellest ei tee sertifikaate halvaks mõtteks. See teeb seadme kindluse ja kasutaja kindluse eristamise kirjutamist väärt, sest need kaks vastavad erinevatele küsimustele ja vastavustabel, mis loeb need üheks, hindab üle, mis on kaitstud.

Lüüsi usaldus ja kasutaja usaldus on eraldi probleemid

Teine faktor ei tee turvaliseks sisestada volitusi lõpp-punkti, mida te ei ole kontrollinud. Klient peab ära tundma kavandatud lüüsi, selleks on serverisertifikaat ja kliendi usaldusseade. Õngitsus toimib, viies sisselogimise serverisse, mida ründaja kontrollib, ja sinna sisestatud õige ühekordne kood edastatakse lihtsalt reaalajas õigele teenusele.

Seetõttu muudab meetodi valik tulemust rohkem kui päringu sõnastus. Inimese sisestatud koode saab edastada igaüks, kes suudab näidata veenvat lehte, samas kui krüptograafilised meetodid, mis seovad autentimise konkreetse päritolu ja sessiooniga, peavad sellisele edastamisele konstruktsiooni tõttu vastu. Milline neist teil on, on meetodi omadus, mitte dialoogi sammude arv.

Järgige tarnija toetatud registreerimist ja kliendivoogu, selle asemel et kruvida paroolivälja külge lisapäringut. Isetehtud teine samm maandub tavaliselt kuskil kahe vahel, lisades hõõrdumist ilma sidemeta, mis teeb faktori tähenduslikuks.

Taastamine on teine välisuks

Igal tugeval sisselogimisel on tagasitee, kui autentija kaob, ja just see tee on tavaliselt kavandi nõrgim koht. Kui tugiagent saab pärast registreeritud numbrile helistamist teise faktori lähtestada, on ründaja jaoks odavaim marsruut kasutajatugi, mitte sisselogimisleht.

Küsige, kuidas asendamine toimib, kes selle kinnitab ja milliseid tõendeid nõutakse. Seejärel kontrollige, et taastamismaterjal, näiteks varukoodid, hoitakse esmasest volitusest eraldi, et üks kompromiss ei annaks mõlemat. NIST-i digitaalse identiteedi juhis käsitleb tõendaja sidumist ja autentija elutsüklit nõude osana, mitte operatiivse järelmõttena.

Mida hinnangusse kirjutada

Kirjeldage faktoreid liikide kaupa, nimetage, mida igaüks tõendab, ja märkige, kuidas see on kontoga seotud. Märkige, kas meetod peab edastamisele vastu, ja kirjeldage taastamisteed sama hoolikalt kui sisselogimist.

Seejärel öelge selgelt, kas juurutus on selle määratluse järgi mitmefaktoriline. „Kaks parooli ja masinasertifikaat” on aus lause ja ütleb lugejale palju rohkem kui linnuke, mis ütleb jah.