Dúas solicitudes de contrasinal non son MFA: que verifica un inicio de sesión VPN

A páxina de inicio de sesión pide un contrasinal e despois un segundo segredo, e de inmediato a implantación descríbese como multifactor. Ás veces é. Moitas veces é un único factor recollido dúas veces, porque ambos os valores son coñecemento que a mesma persoa escribiu da mesma memoria ou da mesma nota. Un cifrado de túnel forte non o cambia, e a palabra «seguro» no nome do produto tampouco.

Separar a afirmación do mecanismo require unha soa pregunta: que demostra cada paso, e a quen?

Un factor é unha proba, non un campo

A autenticación multifactor significa que se verifica máis dun tipo distinto de proba para a mesma conta: algo que o usuario sabe, algo que posúe, algo que é. Dous campos que recollen ambos unha cadea recordada son un único tipo de proba pedido dúas veces. Pode ser un control útil, xa que dous segredos independentes son máis difíciles de adiviñar que un, pero non é o que describe o termo e non debería contarse como tal nunha avaliación de riscos.

O lado da verificación importa tanto como o lado da recollida. Un código xerado nun dispositivo só demostra o control dese dispositivo se o servidor o comproba contra un segredo vinculado a esta conta e rexeita as repeticións. Un código compartido que serve para todos, un código sen límite de intentos ou unha solicitude aprobada nun dispositivo que nunca mostra que se está a aprobar son máis febles do que suxire a etiqueta.

Así que cando alguén pregunte se a VPN ten MFA, pregunte que demostra o segundo paso e como o vincula o servidor. Se a resposta é «un segundo contrasinal do mesmo directorio», ten un factor e unha conversa sobre políticas, non un segundo factor.

O caso do certificado hai que lelo, non supoñelo

Un certificado de cliente máis un contrasinal parece dous factores, e pode ser: o certificado gárdase nun almacén ou nun token, e o contrasinal recórdase. Tamén pode ser un, se o ficheiro do certificado está sen protección no mesmo directorio de perfil que o contrasinal gardado, ou se o certificado se emitiu para un dispositivo que varias persoas comparten sen responsabilidade individual.

A cuestión a resolver é a quen ou a que identifica o certificado. Un certificado de dispositivo demostra que hai unha máquina xestionada presente. Un certificado de usuario demostra unha identidade. Se a implantación emite un certificado por portátil e despois trata a súa presenza como proba da persoa, o segundo factor converteuse en silencio nunha propiedade do hardware que herda calquera que teña o portátil.

Nada diso fai que os certificados sexan unha mala idea. Fai que a distinción entre garantía do dispositivo e garantía do usuario mereza escribirse, porque as dúas responden a preguntas distintas e unha folla de cálculo de cumprimento que as conta como unha esaxerará o que está protexido.

A confianza na pasarela e a confianza no usuario son problemas separados

Un segundo factor non fai seguro escribir credenciais nun punto final que non verificou. O cliente ten que recoñecer a pasarela prevista, e para iso están o certificado do servidor e a configuración de confianza do cliente. O phishing funciona trasladando o inicio de sesión a un servidor que controla o atacante, e un código dun só uso correcto introducido alí simplemente se reenvía ao servizo real en tempo real.

Por iso a elección do método cambia o resultado máis que a redacción da solicitude. Os códigos escritos por unha persoa poden ser reenviados por calquera que poida mostrar unha páxina convincente, mentres que os métodos criptográficos que vinculan a autenticación á orixe e á sesión concretas resisten ese reenvío por deseño. Cal dos dous ten vostede é unha propiedade do método, non do número de pasos no diálogo.

Siga o fluxo de inscrición e de cliente que admite o provedor en lugar de atafegar unha solicitude adicional nun campo de contrasinal. Un segundo paso caseiro adoita quedar nalgún punto intermedio, engadindo fricción sen a vinculación que dá sentido ao factor.

A recuperación é a segunda porta de entrada

Todo inicio de sesión forte ten un camiño de volta cando se perde o autenticador, e ese camiño é onde o deseño adoita ser máis feble. Se un axente de soporte pode restablecer o segundo factor tras unha chamada a un número rexistrado, a ruta máis barata para o atacante é o servizo de axuda, non a páxina de inicio de sesión.

Pregunte como funciona a substitución, quen a aproba e que probas esixen. Despois comprobe que o material de recuperación, como os códigos de reserva, se garda por separado da credencial principal, de modo que unha soa brecha non entregue ambas. A guía sobre identidade dixital do NIST trata a vinculación do verificador e o ciclo de vida do autenticador como parte do requisito, non como unha reflexión operativa.

Que escribir na avaliación

Describa os factores por tipo, nomee que demostra cada un e expoña como está vinculado á conta. Anote se o método resiste o reenvío e describa o camiño de recuperación co mesmo coidado que o inicio de sesión.

Despois diga con claridade se a implantación é multifactor segundo esa definición. «Dous contrasinais e un certificado de máquina» é unha frase honesta, e di a un lector moito máis que unha caixa que marca si.