Twa wachtwurdfragen binne gjin MFA: wat in VPN-oanmelding ferifiearret

De oanmeldside freget om in wachtwurd en dan om in twadde geheim, en de ynset wurdt daliks as multifaktor beskreaun. Soms is dat sa. Faak is it ien faktor dy’t twa kear sammele wurdt, want beide wearden binne kennis dy’t deselde persoan út itselde ûnthâld of deselde nota ynfierd hat. In sterke tunnelssifer feroaret dat net, en it wurd “feilich” yn de produktnamme ek net.

It skieden fan de bewearing en it meganisme kostet ien fraach: wat bewiist elke stap, en foar wa?

In faktor is in bewiis, gjin fjild

Multifaktor-autentikaasje betsjut dat mear as ien ferskillende soarte bewiis foar itselde akkount ferifiearre wurdt: eat wat de brûker wit, eat wat er hat, eat wat er is. Twa fjilden dy’t beide in ûnthâlden tekenrige sammele, binne ien soarte bewiis dy’t twa kear frege wurdt. Dat kin in nuttige kontrôle wêze, want twa ûnôfhinklike geheimen binne hurder te rieden as ien, mar it is net wat de term beskriuwt en it moat yn in risikobeoardieling net as sadanich telde wurde.

De ferifikaasjekant is like wichtich as de sammelkant. In koade dy’t op in apparaat generearre wurdt, bewiist allinne de kontrôle oer dat apparaat as de tsjinner him tsjin in geheim kontrolearret dat oan dit akkount bûn is en werhellingen wegert. In dielde koade dy’t foar elkenien wurket, in koade sûnder taryflimyt of in fraach dy’t op in apparaat goedkard wurdt dat nea lit sjen wat goedkard wurdt, binne allegear swakker as it label suggerearret.

Dus as immen freget oft de VPN MFA hat, freegje dan wat de twadde stap bewiist en hoe’t de tsjinner him bûn hat. As it antwurd “in twadde wachtwurd út deselde map” is, hasto ien faktor en in beliedsgesprek, gjin twadde faktor.

It sertifikaatgefal moat lêzen, net oannommen wurde

In kliïntsertifikaat plus in wachtwurd liket op twa faktoaren, en dat kin it wêze: it sertifikaat stiet yn in opslach of op in token, en it wachtwurd wurdt ûnthâlden. It kin ek ien wêze, as it sertifikaatbestân ûnbeskerme yn deselde profylmap stiet as it bewarre wachtwurd, of as it sertifikaat útjûn is foar in apparaat dat ferskate minsken sûnder yndividuele ferantwurding diele.

De fraach dy’t besljochte wurde moat, is wa of wat it sertifikaat identifisearret. In apparaatsertifikaat bewiist dat in beheard masine oanwêzich is. In brûkerssertifikaat bewiist in identiteit. As de ynset ien sertifikaat per laptop útjout en de oanwêzichheid dêrfan dan as bewiis foar de persoan behannelet, is de twadde faktor stil wurden ta in eigenskip fan hardware dy’t elkenien dy’t de laptop fêsthâldt erft.

Neat dêrfan makket sertifikaten in min idee. It makket it ûnderskie tusken apparaatgarânsje en brûkersgarânsje de muoite wurdich om op te skriuwen, want de twa beantwurdzje ferskillende fragen en in nalevingsblêd dat se as ien telt, sil oerskatte wat beskerme is.

Poartfertrouwen en brûkersfertrouwen binne aparte problemen

In twadde faktor makket it net feilich om oanmeldgegevens yn in einpunt te typen datsto net ferifiearre hast. De kliïnt moat de bedoelde poarte werkenne, en dêr binne it tsjinnersertifikaat en de fertrouwenskonfiguraasje fan de kliïnt foar. Phishing wurket troch de oanmelding te ferpleatsen nei in tsjinner dy’t de oanfaller kontrolearret, en in korrekte ienmalige koade dy’t dêr ynfierd wurdt, wurdt gewoan yn echte tiid nei de echte tsjinst trochjûn.

Dêrom feroaret de metodikeuze de útkomst mear as de bewurding fan de fraach. Koades dy’t in persoan typt, kinne trochjûn wurde troch elkenien dy’t in oertsjûgjende side sjen litte kin, wylst kryptografyske metoaden dy’t de autentikaasje oan de spesifike oarsprong en sesje bine, dy trochjefte fan ûntwerp ôf wjerstean. Hokker fan beide do hast, is in eigenskip fan de metoade, net fan it tal stappen yn de dialooch.

Folgje de stipe ynskriuwing en kliïntstream fan de leveransier yn stee fan in ekstra fraach op in wachtwurdfjild te skroeven. In selsmakke twadde stap lânet meast earne tusken de twa en foeget wriuwing ta sûnder de bining dy’t de faktor betsjuttingsfol makket.

Weromsetten is de twadde foardoar

Elke sterke oanmelding hat in wei werom as de autentikator ferlern giet, en dat paad is wêr’t it ûntwerp meast it swakst is. As in stipe-meiwurker de twadde faktor weromsette kin nei in telefoantsje nei in nûmer dat yn ’e rekken stiet, is de goedkeapste rûte fan de oanfaller de helpdesk, net de oanmeldside.

Freegje hoe ferfanging wurket, wa’t it goedkart en hokker bewiis se freegje. Kontrolearje dan dat weromsetmateriaal lykas reservekoades apart fan de primêre oanmeldgegevens bewarre wurdt, sadat ien kompromis net beide oerlanget. NIST syn rjochtlijn foar digitale identiteit behannelet ferifiearder-bining en de libbenssyklus fan autentikatoren as diel fan de eask yn stee fan in operasjonele neitins.

Wat yn de beoardieling te skriuwen

Beskriuw de faktoaren nei soarte, beneam wat elk bewiist en jou oan hoe’t it oan it akkount bûn is. Meld oft de metoade trochjefte wjerstiet, en beskriuw it weromsetpaad mei deselde soarch as de oanmelding.

Sis dan rjochtút oft de ynset neffens dy definysje multifaktor is. “Twa wachtwurden en in masjinesertifikaat” is in earlike sin, en dy fertelt in lêzer folle mear as in oanfinkfakje dat ja seit.