Benetan bigarren faktorea al da TOTP laptop berean?
VPN laptopeko kode-sorgailua konpromiso-muga beraren barruan dagoen jabetza-faktorea da. Jarraitu lehenengo hazia eta saioa.
Hasi saioa pasahitza eta gero sei digituko kodea eskatzen dituen VPN bezero batean, eta bi eskaerek bi hesi independente dirudite. Faktore-motaren arabera zenbatuta, hala dira: pasahitza dakizun zerbait da, kodea daukazun zerbait. Laptop konprometitu bakar batek zer agertzen duen kontatuta, muga bakarrera bil daitezke, zeren daukazun hori idazten ari zaren makinako fitxategi bat da. Bi zenbaketa horien arteko aldea da ibilbide honen gaia.
Jarraitu saio-hasiera bat pasahitz-eremutik kode-eremura
Begiratu sekuentzia, ez etiketak. Bezeroak pasahitza bidaltzen du, zerbitzariak bigarren froga behar dela erantzuten du, eta bezeroak sei edo zortzi digiturako eremu bat irekitzen du. Eremu horren atzean sekretu partekatua eta erlojua dituen sorgailu-aplikazio bat dago. Sekretutik eta uneko denbora-pausotik balio bat kalkulatzen du, eta zerbitzariak balio bera berrikalkulatzen du sekretuaren bere kopiatik.
Bi aldeek gako-material bera dute. Simetria hori da jendeak ahazten duen zatia kodea sekretutzat deskribatzean: hornitzaileak zure kodeak ere sor ditzake, eta horregatik hazia edozein irteera bakarra baino baliotsuagoa da. Ihes egiten duen kodea behin erabiltzeko balioa da; hura sortu zuen hazia etengabeko egiaztagiria da, balio baliodunak sortzen jarraitzen duena ordeztu arte.
Aktibazioa fluxuaren beste erdia da. Gailuaren pasa-kodearekin, eskaera biometrikoarekin edo edukiontzi enkriptatuarekin irekitzen den sorgailuak jabetza-froga gehi beste zerbait aurkezten du. Enkriptatu gabe exekutatzen den eta sistema eragilearen saioarekin irekitzen denak fitxategia baino ez du aurkezten. Aplikazio berak bi antolamendu eskain ditzake izen-ematea nola egin zenaren arabera, beraz, ezarpen-erabakia pauso horretan dago, ez aplikazioaren marketin-orrian.
Erabaki zer frogatzen duen kodeak benetan
Estandarren hizkuntza ezohiko argia da hemen, eta merezi du zuzenean irakurtzea. NISTen autentikatzaileen gida zerrendatzen ditu software OTP sorgailuak autentikatzaile gisa, faktore bakarreko OTP bereizten du aktibazio-faktorea duen faktore anitzeko OTPtik, eta adierazten du OTP autentifikazioa ez dela phishingaren aurkakoa. Hiru klausula horietako bakoitzak eskaerari buruz esan dezakezuna aldatzen du.
Phishingaren aurkakoa ez izatea da ertzik zorrotzena. Eremu batean idatzitako kodea beste baten eremuan idatz daiteke, denbora errealean, horretarako konbentzitutako pertsona batek. Leihoa laburra da, eta horrek saiakeren kopuru erabilgarria gutxitzen du, baina ez du teknika ixten. Zure baldintzak horri aurre egitea badakar, OTP primitiba okerra da, sorgailua non exekutatzen den alde batera.
Faktore bakarraren eta anitzen arteko aldea da bigarren bereizketa. Aktibazio-pausorik gabe agertzen den kodeak fitxategi baten jabetza frogatzen du eta ez beste ezer, eta fitxategia irakur dezakeen kontua bezain indartsua da. Gehitu aktibazio-faktorea eta baieztapena hobetzen da, baina oraindik saio-hasieran aurkeztutako froga deskribatzen du, ez hura sortzen duen makinaren isolamendua.
Ikus zer har dezakeen laptop konprometitu batek
Lan-estazioan kodea exekutatzeko gaitasuna duen erasotzailea ez da idazten ari zaren eremua irakurtzera mugatzen. Saio-hasiera arrakastatsuaren ondoren ezarritako saioa token edo cookie bat izaten da, eta tokena beste makina batetik erabil daiteke kodera jo gabe. Hori da defendatzen ari zaren gaitasuna bada, saio-hasieran bigarren eskaera bat gehitzeak erasoko urrats kopurua aldatzen du, ez emaitza.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Irakurri hirugarren zutabea zintzotzat. Goiko antolamendu bakoitzak zerbait uzten du lan-estazioaren konfiantza-mugaren barruan, zeren saioa han erabiltzen da. Aldatzen dena da epe luzeko sekretua muga horrekin bidaiatzen duen edo kanpoan geratzen den, eta froga jatorri jakin bati lotuta dagoen, orri imitatu batek birbidali ez dezan.
Bi xehetasun txikiago irudi berekoak dira. Kodeak balio du bere onarpen-leihoan zehar, askotan hogeita hamar segundo gehi erloju-desbideratzearekiko tolerantzia, beraz, harrapatutako balioa leiho horren barruan berriz erreproduzi daiteke, egiaztatzaileak berrerabiltzea ukatzen ez badu. Eta sorgailu berri bat instalatzeak ez ditu amaitzen dagoeneko autentifikatutako saioak, beraz, saio zaharra gertaera hori muga zezakeen egiaztagiri-aldaketak baino gehiago irauten du.
Mugitu sorgailua banantzeak laguntzen duen lekura soilik
Kode-sorgailua telefonan jartzea hobekuntza erreala da hutsegite zehatz baterako: lapurtutako laptopak ez ditu jada bi frogak eramaten. Ez du ezer egiten laptopeko saioaren bahiketaren aurka, phishing orri batean kodea idazten duen erabiltzailearen alde, eta ez du ezer egiten behin inprimatuta ohar-aplikazio batean argazkitu ziren berreskuratze-kodeen alde.
Beraz, idatzi baldintza tresna aukeratu aurretik. Helburua ihes egindako pasahitz baten aurkako froga gehigarria bada, esan argi, eta gailu bereko aplikazioak dagoeneko ematen du. Helburua VPN lan-estazioaren konpromisoaren aurkako erresilientzia bada, izenda ezazu erasotzailearen gaitasun hori eta aukeratu harentzat ebaluatutako antolamendua, phishing baldintza bereizi batean adierazita, ez suposatuta.
Ondoren landu erdi operatiboa, horrek erabakitzen baitu horietakoren batek gertaera batekin harremanetan bizirauten duen. Gailuaren galerak ordezkapen-bide dokumentatua behar du, egiaztagirien errotazioak saio aktiboak ezeztatu behar ditu, eta izen-emate materialak haziak beste babes behar du, babesik gabeko izen-emate kopiak erasotzaileari etorkizuneko kode berak bide laburragoan ematen baitizkio. Lau elementu horiek zerrendatzeak gehiago balio du gailu bereko tokenak onak ala baliogabeak diren eztabaidatzeak baino.