Väärä todentajasovelluksen kuvake? Miksi logo ei todista mitään
Puuttuva logo ei kerro mitään siitä, kuka pitää hallussaan toista tekijääsi. Vahvista rekisteröinti tilin kautta, äläkä koskaan lataa QR-koodia kuvan korjaamiseksi.
Harmaat ruudut siinä, missä brändin logon pitäisi olla, näyttävät hälyttäviltä, ja silti ne ovat väärä asia, johon reagoida. Todentajasovelluksen piirtämä kuva on näyttöyksityiskohta, joka johdetaan merkinnän tarroista, kun taas turvallisuuskysymys on, kuuluuko merkinnän sisällä oleva salaisuus tilillesi. Näiden kahden erottaminen toisistaan on se, mikä erottaa kosmeettisen korjauksen tunnistetietotapauksesta. Se myös pysäyttää korjauksen, joka pahentaa asioita.
Kuvake ja salaisuus vastaavat eri kysymyksiin
Todentajamerkintä luodaan avain-URI:sta, joka kantaa jaettua salaisuutta yhdessä tilin tarran ja myöntäjän nimen kanssa. Sovellus piirtää logon myöntäjästä, jonka se tunnistaa, ja tuntematon tai muutettu myöntäjä tuottaa yksinkertaisesti yleiskuvan. Mikään siinä esityksessä ei kerro, kenellä muulla on kopio salaisuudesta, eikä mikään oikeassa logossa kerro, että merkintä on vain sinun. Lue näyttöä vihjeenä tarrasta, ei lausuntona säilytyksestä.
Myös päinvastoin on totta, ja se on vaarallisempi suunta. Vakuuttava logo todistaa vielä vähemmän kuin puuttuva.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Älä koskaan rekisteröidy uudelleen korjataksesi kuvaa
Verkossa kiertävä korjaus on luoda QR-koodi uudelleen, mikä tarkoittaa salaisuuden viemistä ja työntämistä toisen työkalun läpi. Se muuttaa näyttöongelman paljastumiseksi, koska vienti sisältää juuri sen materiaalin, jonka hyökkääjä tarvitsee kelvollisten koodien tuottamiseen. Sen lataaminen verkkogeneraattoriin luovuttaa toisen tekijän kolmannelle osapuolelle hienomman kuvakkeen vastineeksi.
Jos tili edelleen vahvistaa koodit, rekisteröinti on ehjä ja näyttö on kosmeettinen. Katso todentajasovelluksen omasta dokumentaatiosta myöntäjätarroista ja kuvakehausta, ja jätä merkintä rauhaan. Tarran muokkaaminen logon pakottamiseksi on muutos merkintään syystä, jolla ei ole mitään tekemistä todennuksen kanssa.
Pidä alkuperäinen QR-kuva, raaka avain-URI ja kaikki käsin kirjattu salaisuus poissa tiketeistä, chat-ketjuista, kuvakaappauksista ja julkisista ongelmaseurannoista. Asetussivun kuvakaappaus sisältää usein enemmän kuin sen ottaja aikoi.
Kun salaisuus todella paljastui
Käsittele paljastumista erillisenä tapauksena, jolla on oma vastauksensa. Käytä palvelun tuettua korvausprosessia uuden todentajan rekisteröimiseen, vahvista että uusi merkintä tuottaa hyväksyttyjä koodeja ja poista vanha rekisteröinti palvelimelta. Merkinnän poistaminen paikallisesti ei poista palvelinpuolen rekisteröintiä, joten paljastunut salaisuus voi jatkaa toimintaansa, kunnes palvelulle kerrotaan toisin. Juuri tässä paikallisen poiston ja palvelimen tilan välisessä aukossa on suurin osa riskistä.
Järjestyksellä on merkitystä tässä. Rekisteröi korvaaja ensin, vahvista se ja vasta sitten poista vanha, koska useimmat palvelut lukitsevat sinut ulos, jos viimeinen tekijä katoaa. Palautuskoodit kuuluvat myös tuohon järjestykseen, sillä ne ovat varareitti, kun puhelin ei ole käytettävissä.
Tarkista, onko sama salaisuus ollut käytössä jossain muualla. Generaattoriin liitetty avain-URI on poistunut hallinnastasi, ja sen takana olevaa tiliä on pidettävä jaettuna, kunnes rekisteröinti on korvattu.
Tukipyyntöjen tulisi kuvata visuaalinen ongelma ilman koodeja tai asetusmateriaalia. Kaikki tiliin liittyvä kuuluu tarjoajan vahvistettuun kanavaan, ei julkiseen ketjuun.
Säilytä palautumisreitti ennen poistamista
Ennen kuin poistat minkään toimivan merkinnän, varmista että hyväksytty palautumisreitti on olemassa ja että voit käyttää sitä. Lukitukseen päättyvä kosmeettinen korjaus on huonompi lopputulos kuin väärä logo, ja lukitukset ovat yleisiä, kun ainoa rekisteröity laite on se, jota muokataan.
Hyväksymisehto on kapea: vahvistettu suhde tilin ja todentajan välillä, ja rekisteröintimateriaali pidetään yksityisenä. Tuttu merkki ei ole osa tätä ehtoa, eikä sen puuttuminen ole todiste vaarantumisesta.
Itse avain-URI-muoto on dokumentoitu Google Authenticatorin avain-URI-määrityksessä, mikä muistuttaa myös siitä, että hyötykuorma sisältää salaisuuden eikä logoa. Lue se ennen kuin viet mitään merkinnästä, jota sinulla ei ole varaa menettää.