دو درخواست گذرواژه MFA نیست: ورود به VPN چه چیزی را بررسی می‌کند
فیلد دوم گذرواژه، رمزنگاری قوی و گواهی دستگاه هر یک چیزی را اثبات می‌کنند. تنها عوامل متمایزی که به یک حساب متصل‌اند چندعاملی شمرده می‌شوند.
صفحه ورود ابتدا گذرواژه و سپس راز دومی می‌خواهد و استقرار بی‌درنگ چندعاملی توصیف می‌شود. گاهی واقعاً چنین است. اغلب یک عامل است که دو بار جمع‌آوری شده، چون هر دو مقدار دانشی است که همان شخص از همان حافظه یا همان یادداشت تایپ کرده است. رمزنگاری قوی تونل این را تغییر نمی‌دهد و واژه «امن» در نام محصول هم تغییری در آن نمی‌دهد.
جدا کردن ادعا از سازوکار فقط یک پرسش می‌خواهد: هر گام چه چیزی را و برای چه کسی اثبات می‌کند؟
عامل یک اثبات است، نه یک فیلد
احراز هویت چندعاملی یعنی برای همان حساب بیش از یک نوع متمایز شواهد بررسی می‌شود: چیزی که کاربر می‌داند، چیزی که در اختیار دارد، چیزی که هست. دو فیلدی که هر دو یک رشته به‌یادسپرده را جمع می‌کنند یک نوع شواهد است که دو بار خواسته شده. این می‌تواند یک کنترل مفید باشد، چون حدس زدن دو راز مستقل از یکی دشوارتر است، اما آن چیزی نیست که اصطلاح توصیف می‌کند و در ارزیابی ریسک نباید چنین شمرده شود.
سمت بررسی به اندازه سمت جمع‌آوری مهم است. کدی که روی یک دستگاه تولید می‌شود تنها زمانی کنترل آن دستگاه را اثبات می‌کند که سرور آن را با رازی متصل به این حساب بسنجد و تکرارها را رد کند. کد مشترکی که برای همه کار می‌کند، کدی بدون محدودیت، یا درخواستی که روی دستگاهی تأیید می‌شود که هرگز نشان نمی‌دهد چه چیزی تأیید می‌شود، همه ضعیف‌تر از آن‌اند که برچسب القا می‌کند.
پس وقتی کسی می‌پرسد آیا VPN دارای MFA است، بپرسید گام دوم چه چیزی را اثبات می‌کند و سرور چگونه آن را متصل می‌کند. اگر پاسخ «گذرواژه دومی از همان فهرست» باشد، شما یک عامل و یک گفت‌وگو درباره خط‌مشی دارید، نه عامل دوم.
پرونده گواهی را باید خواند، نه فرض کرد
گواهی کارخواه به‌همراه گذرواژه شبیه دو عامل است و می‌تواند چنین باشد: گواهی در یک مخزن یا روی یک توکن نگه داشته می‌شود و گذرواژه به یاد سپرده می‌شود. می‌تواند یکی هم باشد، اگر پرونده گواهی بدون محافظت در همان پوشه نمایه‌ای باشد که گذرواژه ذخیره‌شده در آن است، یا اگر گواهی برای دستگاهی صادر شده باشد که چند نفر بدون مسئولیت فردی آن را شریک‌اند.
پرسشی که باید روشن شود این است که گواهی چه کسی یا چه چیزی را شناسایی می‌کند. گواهی دستگاه اثبات می‌کند که یک ماشین مدیریت‌شده حاضر است. گواهی کاربر یک هویت را اثبات می‌کند. اگر استقرار برای هر لپ‌تاپ یک گواهی صادر کند و سپس حضور آن را اثبات شخص بگیرد، عامل دوم بی‌صدا به ویژگی سخت‌افزاری تبدیل شده که هر کسی که لپ‌تاپ را در دست دارد آن را به ارث می‌برد.
هیچ‌یک از این‌ها گواهی‌ها را ایده بدی نمی‌کند. این تمایز میان تضمین دستگاه و تضمین کاربر را شایسته نوشتن می‌کند، چون این دو به پرسش‌های متفاوتی پاسخ می‌دهند و صفحه‌گسترده انطباقی که آن‌ها را یکی بشمارد آنچه محافظت می‌شود را بیش از واقع برآورد می‌کند.
اعتماد به دروازه و اعتماد به کاربر دو مسئله جدا هستند
عامل دوم نوشتن داده‌های ورود در نقطه پایانی‌ای را که بررسی نکرده‌اید ایمن نمی‌کند. کارخواه باید دروازه موردنظر را بشناسد و گواهی سرور و پیکربندی اعتماد کارخواه برای همین است. فیشینگ با جابه‌جا کردن ورود به سروری که مهاجم کنترل می‌کند کار می‌کند و کد یک‌بارمصرف درستی که آنجا وارد شود به‌سادگی در زمان واقعی به سرویس واقعی بازفرستاده می‌شود.
به همین دلیل انتخاب روش بیش از جمله‌بندی درخواست نتیجه را تغییر می‌دهد. کدهایی را که یک شخص تایپ می‌کند هر کسی که بتواند صفحه‌ای متقاعدکننده نشان دهد می‌تواند بازبفرستد، در حالی که روش‌های رمزنگاری‌ای که احراز هویت را به مبدأ و نشست مشخص متصل می‌کنند به‌حکم طراحی در برابر این بازفرستادن مقاومت می‌کنند. اینکه کدام را دارید ویژگی روش است، نه شمار گام‌های گفت‌وگو.
از فرایند ثبت‌نام و جریان کارخواه پشتیبانی‌شده توسط فروشنده پیروی کنید، نه اینکه درخواستی اضافه به فیلد گذرواژه پیچ کنید. گام دوم خودساخته معمولاً جایی در میانه فرود می‌آید و اصطکاک می‌افزاید بدون پیوندی که عامل را معنادار می‌کند.
بازیابی دومین در ورودی است
هر ورود قوی راهی برای بازگشت دارد وقتی احرازگر گم شود و همان مسیر معمولاً ضعیف‌ترین نقطه طراحی است. اگر کارشناس پشتیبانی بتواند پس از تماس با شماره‌ای که در پرونده است عامل دوم را بازنشانی کند، ارزان‌ترین مسیر مهاجم میز پشتیبانی است، نه صفحه ورود.
بپرسید جایگزینی چگونه کار می‌کند، چه کسی آن را تأیید می‌کند و چه شواهدی می‌خواهند. سپس بررسی کنید که مواد بازیابی مانند کدهای پشتیبان جدا از داده ورود اصلی نگهداری می‌شود تا یک نفوذ هر دو را در اختیار نگذارد. راهنمای NIST درباره هویت دیجیتال پیوند احرازگر و چرخه عمر احرازگر را بخشی از الزام می‌داند، نه اندیشه عملیاتی پس از واقع.
در ارزیابی چه بنویسید
عوامل را بر اساس نوع توصیف کنید، نام ببرید که هر یک چه چیزی را اثبات می‌کند و بیان کنید که چگونه به حساب متصل است. یادداشت کنید آیا روش در برابر بازفرستادن مقاومت می‌کند و مسیر بازیابی را با همان دقتی که ورود را توصیف می‌کنید، توصیف کنید.
سپس صریح بگویید آیا استقرار بر اساس آن تعریف چندعاملی است. «دو گذرواژه و یک گواهی ماشین» جمله‌ای صادقانه است و به خواننده بسیار بیش از یک کادر تأیید که بله می‌گوید می‌آموزد.