Onko TOTP samalla kannettavalla todella toinen tekijä?
VPN-kannettavan koodigeneraattori on hallintatekijä, joka sijaitsee saman kompromissirajan sisällä. Jäljitä ensin siemen ja istunto.
Kirjaudu VPN-asiakasohjelmaan, joka pyytää ensin salasanan ja sitten kuusinumeroisen koodin, ja kaksi kehotetta näyttävät kahdelta riippumattomalta esteeltä. Tekijätyypin mukaan laskettuna ne ovat sitä: salasana on jotain, minkä tiedät, koodi on jotain, mitä omistat. Sen mukaan laskettuna, mitä yksi kompromettoitunut kannettava paljastaa, ne voivat romahtaa yhdeksi rajaksi, koska omistamasi asia on tiedosto koneella, johon kirjoitat. Näiden kahden laskennan välinen ero on tämän läpikäynnin aihe.
Jäljitä yksi kirjautuminen salasanakentästä koodikenttään
Seuraa järjestystä, älä nimikkeitä. Asiakasohjelma lähettää salasanan, palvelin vastaa, että toinen todiste tarvitaan, ja asiakasohjelma avaa kentän kuudelle tai kahdeksalle numerolle. Kentän takana on generaattorisovellus, jolla on jaettu salaisuus ja kello. Se laskee arvon salaisuudesta ja nykyisestä aika-askeleesta, ja palvelin laskee saman arvon uudelleen omasta salaisuuden kopiostaan.
Molemmat osapuolet pitävät samaa avainmateriaalia. Tämä symmetria on se osa, jonka ihmiset jättävät huomaamatta kuvatessaan koodia salaisuudeksi: palveluntarjoaja voi luoda myös sinun koodisi, ja siksi siemen on arvokkaampi kuin mikään yksittäinen tulos. Vuotava koodi on kertakäyttöinen arvo; sen tuottanut siemen on pysyvä kirjautumistieto, joka jatkaa kelvollisten arvojen tuottamista, kunnes se korvataan.
Aktivointi on virtauksen toinen puoli. Generaattori, joka avautuu laitteen tunnusluvulla, biometrisellä kehotteella tai salatulla säiliöllä, esittää hallinnan todisteen plus jotain muuta. Se, joka toimii salaamattomana ja avautuu käyttöjärjestelmän istunnolla, esittää vain tiedoston. Sama sovellus voi tarjota molemmat järjestelyt riippuen siitä, miten rekisteröinti tehtiin, joten käyttöönottopäätös on siinä vaiheessa, ei sovelluksen markkinointisivulla.
Päätä, mitä koodi todella todistaa
Standardien kieli on tässä epätavallisen selkeää ja ansaitsee suoran lukemisen. NISTin todentajien ohjeistus luettelee ohjelmistopohjaiset OTP-generaattorit todentajiksi, erottaa yksitekijäisen OTP:n monitekijäisestä OTP:stä, jossa on aktivointitekijä, ja toteaa, että OTP-todennus ei ole phishingiä vastustava. Jokainen näistä kolmesta lausekkeesta muuttaa sitä, mitä voit väittää kehotteesta.
Phishingiä vastustamattomuus on terävin reuna. Kenttään kirjoitettu koodi voidaan kirjoittaa toisen kenttään reaaliajassa henkilön toimesta, joka on suostuteltu siihen. Ikkuna on lyhyt, mikä vähentää hyödyllisten yritysten määrää mutta ei sulje tekniikkaa. Jos vaatimuksesi sisältää sen vastustamisen, OTP on väärä perusratkaisu riippumatta siitä, missä generaattori toimii.
Yksitekijäisyys vastaan monitekijäisyys on toinen ero. Koodi, joka ilmestyy ilman aktivointivaihetta, todistaa tiedoston hallinnan eikä mitään muuta, ja tiedosto on vain niin vahva kuin tili, joka voi lukea sen. Lisää aktivointitekijä ja väite paranee, vaikka se kuvaa edelleen kirjautumisessa esitettyä todistetta eikä sitä tuottavan koneen eristystä.
Katso, mihin kompromettoitunut kannettava yltää
Hyökkääjä, jolla on koodin suoritus työasemalla, ei rajoitu lukemaan kenttää, johon kirjoitat. Onnistuneen kirjautumisen jälkeen muodostettu istunto on yleensä token tai eväste, ja tokenia voi käyttää toiselta koneelta ilman mitään koodia. Jos se on kyky, jota vastaan puolustaudut, toisen kehotteen lisääminen kirjautumiseen muuttaa hyökkäyksen vaiheiden määrää, ei tulosta.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Lue kolmas sarake rehellisenä. Jokainen yllä oleva järjestely jättää jotain työaseman luottamusrajan sisään, koska siellä istuntoa käytetään. Muuttuu se, kulkeeko pitkäikäinen salaisuus tuon rajan mukana vai jääkö se sen ulkopuolelle, ja onko todiste sidottu tiettyyn alkuperään, jotta jäljitelty sivu ei voi välittää sitä eteenpäin.
Kaksi pienempää yksityiskohtaa kuuluvat samaan kuvaan. Koodi pysyy kelvollisena hyväksymisikkunansa ajan, usein kolmekymmentä sekuntia plus kellon poikkeaman toleranssi, joten kaapattu arvo voidaan toistaa tämän ikkunan sisällä, ellei vahvistaja kiellä uudelleenkäyttöä. Ja uuden generaattorin asentaminen ei lopeta istuntoja, jotka on jo todennettu, joten vanhentunut istunto elää pidempään kuin kirjautumistiedon muutos, jonka oli tarkoitus rajata tapahtuma.
Siirrä generaattoria vain sinne, missä erottelu auttaa
Koodigeneraattorin laittaminen puhelimeen on todellinen parannus yhteen tiettyyn vikaan: varastettu kannettava ei enää kanna molempia todisteita. Se ei tee mitään kannettavan istunnon kaappaukselle, ei mitään käyttäjälle, joka kirjoittaa koodin phishing-sivulle, eikä mitään palautuskoodeille, jotka kerran tulostettiin ja valokuvattiin muistiinpanosovellukseen.
Kirjoita siis vaatimus ennen työkalun valintaa. Jos tavoitteena on lisätodiste vuotanutta salasanaa vastaan, sano se suoraan, ja saman laitteen sovellus tarjoaa sen jo. Jos tavoitteena on kestävyys VPN-työaseman kompromissia vastaan, nimeä se hyökkääjän kyky ja valitse järjestely, joka on arvioitu sitä varten, ja esitä phishing-vaatimus erikseen sen sijaan, että olettaisit sen.
Käsittele sitten operatiivinen puoli, joka päättää, selviääkö mikään tästä kohtaamisesta tapahtuman kanssa. Laitteen menetys tarvitsee dokumentoidun korvauspolun, kirjautumistietojen kierrätys tarvitsee aktiivisten istuntojen mitätöinnin, ja rekisteröintimateriaali tarvitsee saman suojan kuin siemen, koska suojaamaton rekisteröintikopio antaa hyökkääjälle samat tulevat koodit lyhyempää reittiä. Näiden neljän kohdan luetteleminen on hyödyllisempää kuin väittely siitä, ovatko saman laitteen tokenit hyviä vai arvottomia.