શું એક જ લેપટોપ પર TOTP ખરેખર બીજું પરિબળ છે?
VPN લેપટોપ પરનું કોડ જનરેટર એ કબજાનું પરિબળ છે જે એક જ કોમ્પ્રોમાઇઝ સીમાની અંદર બેસે છે. પહેલા બીજ અને સત્રને અનુસરો.
એવા VPN ક્લાયન્ટમાં સાઇન ઇન કરો જે પહેલા પાસવર્ડ અને પછી છ અંકનો કોડ માંગે છે, અને બે વિનંતીઓ બે સ્વતંત્ર અવરોધો જેવી લાગે છે. પરિબળના પ્રકાર પ્રમાણે ગણીએ તો એવું જ છે: પાસવર્ડ એ છે જે તમે જાણો છો, કોડ એ છે જે તમારી પાસે છે. એક કોમ્પ્રોમાઇઝ થયેલું લેપટોપ શું ખુલ્લું કરે તે પ્રમાણે ગણીએ તો તેઓ એક જ સીમાંમાં સમેટાઈ જઈ શકે છે, કારણ કે તમારી પાસે જે છે તે તમે જે મશીનમાં ટાઇપ કરો છો તેના પરની ફાઇલ છે. આ બે ગણતરીઓ વચ્ચેનું અંતર આ ચર્ચાનો વિષય છે.
પાસવર્ડ ક્ષેત્રથી કોડ બોક્સ સુધી એક લોગિન અનુસરો
લેબલ નહીં, ક્રમ જુઓ. ક્લાયન્ટ પાસવર્ડ મોકલે છે, સર્વર જવાબ આપે છે કે બીજો પુરાવો જરૂરી છે, અને ક્લાયન્ટ છ કે આઠ અંક માટે ક્ષેત્ર ખોલે છે. તે ક્ષેત્ર પાછળ વાહક ગુપ્ત અને ઘડિયાળ ધરાવતી જનરેટર એપ્લિકેશન બેસે છે. તે ગુપ્ત અને વર્તમાન સમય-પગલામાંથી મૂલ્ય ગણે છે, અને સર્વર ગુપ્તની પોતાની નકલમાંથી એ જ મૂલ્ય ફરી ગણે છે.
બંને બાજુઓ સમાન કી-સામગ્રી રાખે છે. આ સમમિતિ એ ભાગ છે જે લોકો કોડને ગુપ્ત કહેતી વખતે ચૂકી જાય છે: પ્રદાતા પણ તમારા કોડ બનાવી શકે છે, તેથી બીજ કોઈપણ એકલ આઉટપુટ કરતાં વધુ મૂલ્યવાન છે. લીક થયેલો કોડ એક-વખતનું મૂલ્ય છે; તેને ઉત્પન્ન કરનાર બીજ એ કાયમી ઓળખપત્ર છે જે બદલાય ત્યાં સુધી માન્ય મૂલ્યો ઉત્પન્ન કરતું રહે છે.
સક્રિયકરણ પ્રવાહનો બીજો અડધો ભાગ છે. જે જનરેટર ઉપકરણના પાસકોડ, બાયોમેટ્રિક વિનંતી કે એન્ક્રિપ્ટેડ કન્ટેનરથી ખૂલે છે તે કબજાનો પુરાવો સાથે બીજું કંઈક આપે છે. જે એન્ક્રિપ્શન વગર ચાલે છે અને ઓપરેટિંગ સિસ્ટમ સત્રથી ખૂલે છે તે ફક્ત ફાઇલ આપે છે. એ જ એપ્લિકેશન નોંધણી કેવી રીતે થઈ તેના આધારે બંને ગોઠવણો આપી શકે છે, તેથી જમાવટનો નિર્ણય તે પગલામાં છે, એપનાં માર્કેટિંગ પૃષ્ઠમાં નહીં.
કોડ ખરેખર શું સાબિત કરે છે તે નક્કી કરો
ધોરણોની ભાષા અહીં અસામાન્ય રીતે સ્પષ્ટ છે, અને સીધા વાંચવા યોગ્ય છે. NISTની પ્રમાણકર્તા માર્ગદર્શિકા સોફ્ટવેર આધારિત OTP જનરેટરને પ્રમાણકર્તા તરીકે સૂચિબદ્ધ કરે છે, સક્રિયકરણ પરિબળ સાથેના બહુ-પરિબળ OTPથી એક-પરિબળ OTPને અલગ પાડે છે, અને જણાવે છે કે OTP પ્રમાણીકરણ ફિશિંગ-પ્રતિરોધી નથી. આ ત્રણમાંથી દરેક કલમ બદલે છે કે વિનંતી વિશે તમે શું દાવો કરી શકો.
ફિશિંગ-પ્રતિરોધી ન હોવું એ સૌથી તીવ્ર ધાર છે. ક્ષેત્રમાં ટાઇપ કરેલો કોડ બીજાના ક્ષેત્રમાં, વાસ્તવિક સમયમાં, એવી વ્યક્તિ દ્વારા ટાઇપ કરી શકાય છે જેને તેમ કરવા માટે મનાવવામાં આવ્યું હોય. વિન્ડો ટૂંકી છે, જે ઉપયોગી પ્રયાસોની સંખ્યા ઘટાડે છે પણ તકનીક બંધ કરતી નથી. જો તમારી આવશ્યકતામાં તેનો પ્રતિકાર સમાયેલો હોય, તો જનરેટર ક્યાં ચાલે તે ધ્યાનમાં લીધા વગર OTP ખોટું પ્રાથમિક છે.
એક-પરિબળ સામે બહુ-પરિબળ એ બીજો ભેદ છે. સક્રિયકરણ પગલા વગર દેખાતો કોડ ફાઇલના કબજાનો પુરાવો છે અને બીજું કંઈ નહીં, અને ફાઇલ એટલી જ મજબૂત છે જેટલું તે ખાતું જે તેને વાંચી શકે. સક્રિયકરણ પરિબળ ઉમેરો તો દાવો સુધરે છે, જોકે તે હજી લોગિન વખતે રજૂ થયેલા પુરાવાનું વર્ણન કરે છે, તેને ઉત્પન્ન કરતા મશીનના અલગીકરણનું નહીં.
કોમ્પ્રોમાઇઝ થયેલું લેપટોપ ક્યાં સુધી પહોંચી શકે તે જુઓ
વર્કસ્ટેશન પર કોડ ચલાવવાની ક્ષમતા ધરાવતો હુમલાવીર તમે જે ક્ષેત્રમાં ટાઇપ કરો છો તે વાંચવા પૂરતો મર્યાદિત નથી. સફળ લોગિન પછી સ્થપાયેલું સત્ર સામાન્ય રીતે ટોકન કે કૂકી હોય છે, અને ટોકન કોઈપણ કોડ વગર બીજા મશીનથી વાપરી શકાય છે. જો આ એ ક્ષમતા છે જેની સામે તમે બચાવ કરો છો, તો લોગિન વખતે બીજી વિનંતી ઉમેરવાથી હુમલાના પગલાંની સંખ્યા બદલાય છે, પરિણામ નહીં.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
ત્રીજા કૉલમને પ્રામાણિક તરીકે વાંચો. ઉપરની દરેક ગોઠવણ વર્કસ્ટેશનની વિશ્વાસ-સીમાની અંદર કંઈક છોડે છે, કારણ કે સત્ર ત્યાં જ વપરાય છે. જે બદલાય છે તે એ છે કે લાંબા ગાળાનું ગુપ્ત તે સીમા સાથે મુસાફરી કરે છે કે બહાર રહે છે, અને પુરાવો ચોક્કસ ઉદ્ભવ સાથે બંધાયેલો છે કે નહીં જેથી નકલી પૃષ્ઠ તેને ફરી મોકલી ન શકે.
બે નાની વિગતો એ જ ચિત્રની છે. કોડ તેની સ્વીકૃતિ વિન્ડો દરમિયાન માન્ય રહે છે, ઘણી વાર ત્રીસ સેકન્ડ વત્તા ઘડિયાળના વિચલન માટે સહનશીલતા, તેથી પકડાયેલું મૂલ્ય તે વિન્ડોમાં ફરી ચલાવી શકાય છે, સિવાય કે ચકાસનાર ફરી વપરાશ નકારે. અને નવું જનરેટર સ્થાપિત કરવાથી પહેલેથી પ્રમાણિત થયેલાં સત્રો સમાપ્ત થતાં નથી, તેથી જૂનું સત્ર તે ઓળખપત્ર ફેરફાર કરતાં વધુ ટકે છે જે ઘટનાને સમાવવાનું હતું.
જનરેટરને ફક્ત ત્યાં જ ખસેડો જ્યાં અલગીકરણ મદદ કરે
કોડ જનરેટરને ફોન પર મૂકવું એક ચોક્કસ નિષ્ફળતા માટે ખરેખર સુધારો છે: ચોરાયેલું લેપટોપ હવે બંને પુરાવા લઈ જતું નથી. તે લેપટોપ પર સત્ર-અપહરણ માટે કંઈ કરતું નથી, ફિશિંગ પૃષ્ઠમાં કોડ ટાઇપ કરતા વપરાશકર્તા માટે કંઈ કરતું નથી, અને એક વાર છપાઈને નોંધ એપમાં ફોટો પડાયેલા પુનઃપ્રાપ્તિ કોડ માટે પણ કંઈ કરતું નથી.
તેથી સાધન પસંદ કરતા પહેલા આવશ્યકતા લખો. જો ધ્યેય લીક થયેલા પાસવર્ડ સામે વધારાનો પુરાવો હોય, તો તે સ્પષ્ટ કહો, અને એ જ ઉપકરણની એપ તે પહેલેથી આપે છે. જો ધ્યેય VPN વર્કસ્ટેશનના કોમ્પ્રોમાઇઝ સામે ટકાઉપણું હોય, તો તે હુમલાવીર-ક્ષમતાનું નામ આપો અને તેના માટે મૂલ્યાંકિત ગોઠવણ પસંદ કરો, અને ફિશિંગ આવશ્યકતા ધારવાને બદલે અલગ દર્શાવો.
પછી કાર્યકારી અડધા ભાગ સંભાળો, જે નક્કી કરે છે કે તેમાંથી કંઈ ઘટના સાથેના સંપર્કમાં ટકે છે કે નહીં. ઉપકરણ ગુમાવવા માટે દસ્તાવેજી બદલી માર્ગ જોઈએ, ઓળખપત્ર પરિભ્રમણ માટે સક્રિય સત્રો રદ કરવાં જોઈએ, અને નોંધણી સામગ્રીને બીજ જેટલું જ રક્ષણ જોઈએ, કારણ કે અસુરક્ષિત નોંધણી નકલ હુમલાવીરને એ જ ભાવિ કોડ ટૂંકા માર્ગે આપે છે. આ ચાર મુદ્દા ગણાવવા એ એ જ ઉપકરણના ટોકન સારા કે નકામા છે તેની ચર્ચા કરતાં વધુ ઉપયોગી છે.