Is TOTP op deselde laptop echt in twadde faktor?
In koadegenerator op 'e VPN-laptop is in besitfaktor dy't binnen deselde kompromisgrins sit. Folgje earst it sied en de sesje.
Meld jo oan by in VPN-klant dy't earst in wachtwurd en dan in seissiferige koade freget, en twa oanfragen lykje twa ûnôfhinklike barrieres. Nei faktortype teld binne se dat: it wachtwurd is eat dat jo witte, de koade is eat dat jo besitte. Nei wat ien kompromittearre laptop bleatleit teld, kinne se yn ien grins yninoar sakje, want wat jo besitte is in bestân op 'e masine dêr't jo yn type. It gat tusken dy twa tellings is it ûnderwerp fan dizze rûnlieding.
Folgje ien oanmelding fan it wachtwurdfjild oant it koadefjild
Sjoch nei de folchoarder, net nei de labels. De klant stjoert it wachtwurd, de tsjinner antwurdet dat in twadde bewiis nedich is, en de klant iepenet in fjild foar seis of acht sifers. Efter dat fjild sit in generatorapplikaasje mei in dield geheim en in klok. It berekkent in wearde út it geheim en de hjoeddeiske tiidstap, en de tsjinner berekkent deselde wearde op 'e nij út syn kopy fan it geheim.
Beide kanten hâlde itselde kaaimateriaal. Dy symmetry is it diel dat minsken misse as se de koade as geheim beskriuwe: de oanbieder kin ek jo koaden generearje, dêrom is it sied mear wurdich as hokker inkelde útfier ek. In koade dy't lekket is in wearde foar ien kear; it sied dat him makke hat is in permaninte bewiis fan identiteit dat trochgiet mei jildige wearden te meitsjen oant it ferfongen wurdt.
Aktivaasje is de oare helte fan 'e stream. In generator dy't iepent mei in apparaatkoade, in biometryske oanfraach of in fersifere container jout in besitbewiis plus eat oars. Ien dy't sûnder fersifering draait en iepent mei de sesje fan it bestjoeringssysteem jout allinnich it bestân. Deselde applikaasje kin beide regelingen biede ôfhinklik fan hoe't de oanmelding dien is, dus it ynsetbeslút leit yn dy stap, net op 'e marketingside fan 'e app.
Beslis wat de koade eins bewiist
De taal fan 'e noarmen is hjir ûngewoan dúdlik, en wurdich om direkt te lêzen. De rjochtline fan NIST oer autentisatoaren listet software-OTP-generatoren op as autentisatoaren, ûnderskiedt ienfaktors-OTP fan mearfaktors-OTP mei in aktivaasjefaktor, en stelt dat OTP-autentikaasje net phishing-bestindich is. Elk fan dy trije klausules feroaret wat jo oer de oanfraach beweare kinne.
Net phishing-bestindich wêze is de skerpste râne. In koade dy't yn in fjild typt wurdt, kin yn echte tiid yn it fjild fan in oar typt wurde, troch ien dy't dêrtroch oertsjûge is. It finster is koart, wat it oantal brûkbere besykjen fermindert mar de technyk net slút. As jo eask it wjerstean dêrfan omfettet, is OTP it ferkearde primityf, wêr't de generator ek draait.
Ienfaktors tsjin mearfaktors is it twadde ûnderskied. In koade dy't ferskynt sûnder aktivaasjestap bewiist besit fan in bestân en neat oars, en it bestân is mar sa sterk as it akkount dat it lêze kin. Foegje in aktivaasjefaktor ta en de bewearing wurdt better, al beskriuwt it noch altyd it bewiis dat by de oanmelding jûn wurdt, net de isolaasje fan 'e masine dy't it makket.
Sjoch wat in kompromittearre laptop berikke kin
In oanfaller mei koade-útfiering op 'e wurkstasjon is net beheind ta it lêzen fan it fjild dêr't jo yn type. De sesje dy't nei in suksesfolle oanmelding oprjochte wurdt is meastentiids in token of in cookie, en in token kin fan in oare masine brûkt wurde sûnder hokker koade dan ek. As dat de kapasiteit is dêr't jo tsjin ferdigenje, feroaret in twadde oanfraach by de oanmelding it oantal stappen yn 'e oanfal, net de útkomst.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Lês de tredde kolom as de earlike. Elke regeling hjirboppe lit eat efter binnen de fertrouwensgrins fan 'e wurkstasjon, want dêr wurdt de sesje brûkt. Wat feroaret is oft it langduorjende geheim mei dy grins reizget of derbûten bliuwt, en oft it bewiis oan in spesifike oarsprong bûn is sadat in neimakke side it net trochjaan kin.
Twa lytsere details hearre by itselde byld. In koade bliuwt jildich yn syn akseptaasjefinster, faaks tritich sekonden plus tolerânsje foar klokôfwiking, dus in fêstleine wearde kin binnen dy finster werhelle wurde, útsein as de ferifiearder wergebrûk wegeret. En it ynstallearjen fan in nije generator beëiniget gjin sesjes dy't al autentisearre binne, dus in ferâldere sesje oerlibbet de bewiisferoaring dy't it ynsidint beheine moast.
Ferpleats de generator allinnich dêr't skieding helpt
De koadegenerator op in tillefoan sette is in echte ferbettering foar ien spesifike fout: in stellen laptop draacht net mear beide bewijzen. It docht neat foar sesjekaping op 'e laptop, neat foar in brûker dy't in koade yn in phishing-side typt, en neat foar de werstelkoaden dy't ien kear printe en yn in notysje-app fotografearre binne.
Skriuw dus de eask foardat jo it ark kieze. As it doel in ekstra bewiis tsjin in lekte wachtwurd is, sis dat rjochtút, en de app op itselde apparaat leveret it al. As it doel wjerstân is tsjin kompromis fan 'e VPN-wurkstasjon, neam dy oanfallerkapasiteit en kies in regeling dy't dêrfoar beoardiele is, mei de phishing-eask apart neamd ynstee fan oannommen.
Behanje dan de operasjonele helte, dy't beslút oft eat dêrfan in konfrontaasje mei in ynsidint oerlibbet. Apparaatferlies hat in dokumintearre ferfangingspaad nedich, bewiisrotasje moat aktive sesjes ynlûke, en oanmeldingsmateriaal hat deselde beskerming nedich as it sied, want in ûnbeskerme oanmeldingskopy jout in oanfaller deselde takomstige koaden fia in koartere rûte. It opsommen fan dy fjouwer punten is nuttiger as it debatearjen oer oft tokens op itselde apparaat goed of weardeleas binne.