Kaksi salasanakehotetta ei ole MFA: mitä VPN-kirjautuminen todentaa

Kirjautumissivu pyytää salasanaa ja sitten toista salaisuutta, ja käyttöönottoa kuvataan heti monivaiheiseksi. Joskus se on sitä. Usein kyse on yhdestä tekijästä, joka kerätään kahdesti, koska molemmat arvot ovat tietoa, jonka sama henkilö kirjoitti samasta muistista tai samasta muistiinpanosta. Vahva tunnelisalaus ei muuta tätä, eikä tuotteen nimessä oleva sana ”turvallinen”.

Väitteen erottaminen mekanismista vaatii yhden kysymyksen: mitä kukin vaihe todistaa ja kenelle?

Tekijä on todiste, ei kenttä

Monivaiheinen todennus tarkoittaa, että samalle tilille tarkistetaan useampaa kuin yhtä erilaista todistetta: jotain, jonka käyttäjä tietää, jotain, jonka hän omistaa, jotain, mitä hän on. Kaksi kenttää, jotka molemmat keräävät muistetun merkkijonon, ovat yksi todistelaji, jota pyydetään kahdesti. Se voi olla hyödyllinen valvontakeino, koska kahta riippumatonta salaisuutta on vaikeampi arvata kuin yhtä, mutta se ei ole se, mitä termi kuvaa, eikä sitä pitäisi laskea sellaiseksi riskiarvioinnissa.

Tarkistuspuoli on yhtä tärkeä kuin keruupuoli. Laitteessa luotu koodi todistaa hallinnan siitä laitteesta vain, jos palvelin tarkistaa sen tähän tiliin sidottua salaisuutta vastaan ja hylkää toistot. Jaettu koodi, joka toimii kaikille, rajoittamaton koodi tai laitteessa hyväksytty kehote, joka ei koskaan näytä, mitä hyväksytään, ovat kaikki heikompia kuin tunniste antaa ymmärtää.

Joten kun joku kysyy, onko VPN:ssä MFA, kysy, mitä toinen vaihe todistaa ja miten palvelin sitoo sen. Jos vastaus on ”toinen salasana samasta hakemistosta”, sinulla on yksi tekijä ja politiikkakeskustelu, ei toista tekijää.

Varmennetapaus pitää lukea, ei olettaa

Asiakasvarmenne ja salasana näyttävät kahdelta tekijältä, ja se voi olla sitä: varmenne on tallennuksessa tai tokenissa ja salasana muistetaan. Se voi olla myös yksi, jos varmennetiedosto on suojaamattomana samassa profiilikansiossa kuin tallennettu salasana, tai jos varmenne on myönnetty laitteelle, jota useat ihmiset jakavat ilman henkilökohtaista vastuuta.

Ratkaistava kysymys on, kenet tai mitä varmenne tunnistaa. Laitevarmenne todistaa, että hallittu kone on paikalla. Käyttäjävarmenne todistaa henkilöllisyyden. Jos käyttöönotto myöntää yhden varmenteen kannettavaa kohti ja kohtelee sitten sen läsnäoloa todisteena henkilöstä, toisesta tekijästä on hiljaa tullut laitteiston ominaisuus, jonka perii kuka tahansa kannettavaa pitävä.

Mikään tästä ei tee varmenteista huonoa ideaa. Se tekee laiteturvan ja käyttäjäturvan erottamisesta kirjaamisen arvoista, koska ne vastaavat eri kysymyksiin ja vaatimustenmukaisuustaulukko, joka laskee ne yhdeksi, yliarvioi sen, mikä on suojattu.

Yhdyskäytävän luottamus ja käyttäjän luottamus ovat erillisiä ongelmia

Toinen tekijä ei tee turvalliseksi kirjoittaa tunnuksia päätepisteeseen, jota et ole varmistanut. Asiakasohjelman on tunnistettava aiottu yhdyskäytävä, ja sitä varten ovat palvelinvarmenne ja asiakkaan luottamusasetukset. Tietojenkalastelu toimii siirtämällä kirjautuminen palvelimelle, jota hyökkääjä hallitsee, ja sinne syötetty oikea kertakäyttökoodi vain välitetään reaaliajassa oikealle palvelulle.

Siksi menetelmän valinta muuttaa lopputulosta enemmän kuin kehotteen sanamuoto. Ihmisen kirjoittamia koodeja voi välittää kuka tahansa, joka osaa näyttää vakuuttavan sivun, kun taas todennuksen tiettyyn alkuperään ja istuntoon sitovat salausmenetelmät vastustavat välitystä suunnittelunsa puolesta. Kumpi sinulla on, on menetelmän ominaisuus, ei valintaikkunan vaiheiden määrä.

Noudata toimittajan tukemaa rekisteröintiä ja asiakasohjelman kulkua sen sijaan, että ruuvaat ylimääräisen kehotteen salasanakenttään. Itse tehty toinen vaihe päätyy yleensä jonnekin näiden väliin ja lisää kitkaa ilman sidosta, joka tekee tekijästä merkityksellisen.

Palautus on toinen etuovi

Jokaisella vahvalla kirjautumisella on paluureitti, kun todentaja katoaa, ja juuri se reitti on yleensä suunnittelun heikoin kohta. Jos tukihenkilö voi nollata toisen tekijän soitettuaan tiedossa olevaan numeroon, hyökkääjän halvin reitti on tukipalvelu, ei kirjautumissivu.

Kysy, miten korvaaminen toimii, kuka sen hyväksyy ja mitä todisteita vaaditaan. Tarkista sitten, että palautusmateriaali, kuten varakoodit, säilytetään erillään ensisijaisesta tunnuksesta, jotta yksi vaarantuminen ei luovuta molempia. NIST:n digitaalisen identiteetin ohje pitää todentajan sitomista ja todentajan elinkaarta vaatimuksen osana, ei operatiivisena jälkiajatuksena.

Mitä arvioon kirjoitetaan

Kuvaa tekijät lajeittain, nimeä, mitä kukin todistaa, ja kerro, miten se on sidottu tiliin. Merkitse, vastustaako menetelmä välitystä, ja kuvaa palautuspolku yhtä huolellisesti kuin kirjautuminen.

Sano sitten selvästi, onko käyttöönotto määritelmän mukaan monivaiheinen. ”Kaksi salasanaa ja konevarmenne” on rehellinen lause, ja se kertoo lukijalle paljon enemmän kuin valintaruutu, joka sanoo kyllä.