MFA-oanfraach foar VPN wegere: wat de klient dwaan moat

In wegere MFA-oanfraach liket in netwurkprobleem en is dat net. De tsjinner frege om in twadde faktor, de faktor kaam negatyf werom of kaam nea, en de sesje waard wegere foardat der ea in tunnel bestie. Wat dêrnei bart, is in kwestje fan klantgedrach: lit de flater sjen en lit de brûker in skjinne poging begjinne, of besykje it opnij op manieren dy’t mear oanfragen meitsje en op it lêst de akkountbeskerming aktivearje. It twadde paad is hoe’t ien ferkeard typte koade in beskoattele akkount wurdt.

Kontrolearje hokker oanfraach mislearre

Begjin mei te bepalen hokker oanfraach mislearre. In pushmelding, in TOTP-koade, in FIDO-befêstiging en in SAML-stream mislearje elk oars, en de klient wit normaal hokker fan dizze er frege hat. In wegering, in ferrûne útdaging en in leveringsflater dy’t it apparaat nea berikte, einigje allegear yn deselde algemiene flater, dat de eigen steat fan de klient is faak it iennichste plak dêr’t it ferskil oerlibbet.

Dy steat is it wurdich krekt te loggen. Registrearje de útdaging-identifikaasje of transaksjeferwizing, it faktoartype, de tiidstimpel en de útkomst, mar nea de koade of de befêstiging. In útdaging-identifikaasje is wat in behearder helpt it barren oan de kant fan de identiteitsprovider te finen; sûnder dat begjint it stipepetear mei “earne yn de lêste oere” en einiget it meastentiids dêr. Behannelje it as diagnostyske metadata, net as in geheim.

Besykje it ien kear opnij, bewust, mei in nije útdaging

In werpoging moat in nije poging mei in nije útdaging wêze, net in werhelling fan de âlde. As de klient de foarige útdaging wer brûkt, wiist de identiteitsprovider dy ôf as ferâldere of, slimmer, akseptearret in goedkarring dy’t foar de eardere poging bedoeld wie. Freegje in nije útdaging oan, lit dy sjen, en lit de brûker hannelje op dyjinge dy’t no op it skerm stiet.

Twa pogingen mei in koarte pauze der tusken is in ridlike standert; in ûnbeheinde lus is dat net. As de twadde poging op deselde manier mislearret, stopje en rapportearje ynstee fan trochgean.

Wat de klient net dwaan mei

De klient mei ferskate dingen net dwaan dy’t nuttich lykje en dat net binne. Hy mei net trochgean mei pushmeldingen stjoere oant immen op “goedkarre” tikket, want dat leart brûkers oanfragen goed te karren dy’t se net begûn binne, en dat is krekt it gedrach dêr’t phishing-kits op fertrouwe. Hy mei net weromfalle op in swakker faktor om’t de sterke mislearre, en hy mei de tsjinner-identiteitskontrôle net útskeakelje om in sertifikaatklacht foarby te kommen dy’t tagelyk opkaam. Elk fan dy trije flugge paden makket fan in autentikaasjeflater in befeiligingsynsidint.

Hy mei de flater ek net stil op slokke. In klient dy’t de ferbining slút en in draaiende oanwizer toant, lit de brûker sûnder idee oft er opnij besykje, wachtsje of stipe belje moat. Lit de flater sjen mei it faktoartype en in koarte koade, hâld it berjocht frij fan geheimen, en meitsje de werpoging-aksje eksplisyt ynstee fan automatysk.

As de oanfraach net begûn is troch de persoan efter it toetseboerd, is de goede aksje dy wegere te litten en te rapportearjen fia it ferifisearre stipepaad. In oanfraach goedkarre om it lûd te stopjen is it flaterpatroan, net de oplossing.

Wat foar stipe te registrearjen

Foar stipe is de nuttige registraasje lyts. De sawat tiid mei de tiidsône, it akkount, de klient en ferzje, it faktoartype, en de net-geheime status fan elke poging: frege, wegere, ferrûn, goedkard mar troch belied wegere.

Hâld ek de klokken fan klient en tsjinner yn ’e rekken. TOTP is in tiidfinsterkontrôle, dat in apparaat mei in ferskood klok produsearret koaden dy’t jildich lykje en elke kear mislearje, en in klient dy’t in ûnjildige koade rapportearret sûnder de ferskowing te neamen, stjoert minsken om oanmeldgegevens te resetten dy’t nea ferkeard wiene. In brûker waans oanmelding hieltyd mislearret, moat de stipe ferzje fan de klient, de ynskriuwingstatus en it dokumintearre werstelpaad kontrolearje foardat er mear oanfragen makket.

It werstelpaad fertsjinnet deselde soarch as it oanmeldpaad. In workflow foar ferlern apparaat bestiet krekt sadat in wegering gjin tastimming wurdt om autentikaasje foarby te gean, en in klient moat keppelje nei it dokumintearre proses fan de organisaasje ynstee fan sels ien te betinken.

De regel dêr’t tsjin oan boud wurde moat, is dat wegering in resultaat is, gjin obstakel. Rapportearje it ien kear, dúdlik, mei genôch kontekst om op te hanneljen, en lit de folgjende poging in nije wêze. De rjochtline fan CISA oer MFA dat bestân is tsjin phishing ferklearret wêrom’t it patroan “freegje oant goedkard” fan it begjin ôf gefaarlik is, en it is de referinsje dy’t it wurdich is oan te heljen as immen in werhellingslus foarstelt. Alles wat de klient nei in wegering tafoeget, moat de folgjende beslissing foar in minske makliker meitsje, net de beslissing fan har ôfnimme.