બે પાસવર્ડ વિનંતીઓ MFA નથી: VPN લૉગિન શું ચકાસે છે

લૉગિન પૃષ્ઠ પહેલા પાસવર્ડ માંગે છે, પછી બીજું રહસ્ય, અને જમાવટને તરત જ બહુ-પરિબળ કહેવાય છે. ક્યારેક એ સાચું હોય છે. ઘણી વાર એ એક જ પરિબળ બે વાર એકઠું કરેલું હોય છે, કારણ કે બંને મૂલ્યો એ જ માહિતી છે જે એ જ વ્યક્તિએ એ જ સ્મૃતિ કે એ જ નોંધમાંથી ટાઇપ કરી છે. મજબૂત ટનલ સાઇફર આ બદલતું નથી, અને ઉત્પાદનના નામમાંનો „સુરક્ષિત“ શબ્દ પણ નહીં.

દાવાને પ્રક્રિયાથી અલગ પાડવા એક જ પ્રશ્ન જોઈએ: દરેક પગલું શું અને કોની સામે સાબિત કરે છે?

પરિબળ એ પુરાવો છે, ક્ષેત્ર નહીં

બહુ-પરિબળ પ્રમાણીકરણનો અર્થ છે કે એ જ ખાતા માટે એક કરતાં વધુ અલગ પ્રકારના પુરાવા ચકાસાય છે: કંઈક જે વપરાશકર્તા જાણે છે, કંઈક જે તેની પાસે છે, કંઈક જે તે પોતે છે. બે ક્ષેત્રો જે બંને એક યાદ રાખેલી શૃંખલા એકઠી કરે છે તે એક જ પ્રકારનો પુરાવો છે જે બે વાર માંગવામાં આવ્યો છે. આ ઉપયોગી નિયંત્રણ હોઈ શકે છે, કારણ કે બે સ્વતંત્ર રહસ્યો અનુમાન કરવા એક કરતાં અઘરા છે, પણ આ એ નથી જે શબ્દ વર્ણવે છે અને જોખમ મૂલ્યાંકનમાં તેને એમ ગણવું જોઈએ નહીં.

ચકાસણીની બાજુ સંગ્રહની બાજુ જેટલી જ મહત્ત્વની છે. ઉપકરણ પર બનેલો કોડ તે ઉપકરણ પરનું નિયંત્રણ ત્યારે જ સાબિત કરે છે જ્યારે સર્વર તેને આ ખાતા સાથે જોડાયેલા રહસ્ય સામે તપાસે અને પુનરાવર્તન નકારે. બધા માટે ચાલતો સહિયારો કોડ, મર્યાદા વગરનો કોડ, અથવા એવા ઉપકરણ પર મંજૂર થયેલી વિનંતી જે ક્યારેય બતાવતું નથી કે શું મંજૂર થઈ રહ્યું છે — આ બધા લેબલના સંકેત કરતાં નબળા છે.

તેથી જ્યારે કોઈ પૂછે કે VPN માં MFA છે કે નહીં, તો પૂછો કે બીજું પગલું શું સાબિત કરે છે અને સર્વર તેને કેવી રીતે જોડે છે. જવાબ જો „એ જ ડિરેક્ટરીમાંથી બીજો પાસવર્ડ“ હોય, તો તમારી પાસે એક પરિબળ અને નીતિ વિશે વાતચીત છે, બીજું પરિબળ નહીં.

પ્રમાણપત્રની બાબત વાંચવી જોઈએ, ધારવી નહીં

ક્લાયન્ટ પ્રમાણપત્ર સાથે પાસવર્ડ બે પરિબળ લાગે છે, અને હોઈ શકે: પ્રમાણપત્ર ભંડારમાં કે ટોકન પર રાખવામાં આવે છે, અને પાસવર્ડ યાદ રખાય છે. તે એક પણ હોઈ શકે, જો પ્રમાણપત્ર ફાઇલ સંગ્રહિત પાસવર્ડ સાથે એ જ પ્રોફાઇલ ડિરેક્ટરીમાં અસુરક્ષિત પડી હોય, અથવા પ્રમાણપત્ર એવા ઉપકરણને આપવામાં આવ્યું હોય જે ઘણા લોકો વ્યક્તિગત જવાબદારી વગર વહેંચે છે.

નક્કી કરવાનો પ્રશ્ન એ છે કે પ્રમાણપત્ર કોની કે શાની ઓળખ કરે છે. ઉપકરણ પ્રમાણપત્ર સાબિત કરે છે કે કોઈ સંચાલિત મશીન હાજર છે. વપરાશકર્તા પ્રમાણપત્ર ઓળખ સાબિત કરે છે. જો જમાવટ દરેક લેપટોપ માટે એક પ્રમાણપત્ર આપે અને પછી તેની હાજરીને વ્યક્તિનો પુરાવો ગણે, તો બીજું પરિબળ ચૂપચાપ એવા હાર્ડવેરની લાક્ષણિકતા બની ગયું છે જે લેપટોપ પકડી રાખનાર દરેકને વારસામાં મળે છે.

આમાંથી કંઈ પણ પ્રમાણપત્રોને ખરાબ વિચાર બનાવતું નથી. આ ઉપકરણ આશ્વાસન અને વપરાશકર્તા આશ્વાસન વચ્ચેનો ભેદ લખવા લાયક બનાવે છે, કારણ કે બંને અલગ પ્રશ્નોના જવાબ આપે છે અને જે અનુપાલન પત્રક તેમને એક ગણે છે તે શું સુરક્ષિત છે તે વધારીને કહેશે.

ગેટવે પરનો ભરોસો અને વપરાશકર્તા પરનો ભરોસો અલગ સમસ્યાઓ છે

બીજું પરિબળ એવા એન્ડપોઇન્ટમાં ઓળખપત્રો લખવાનું સુરક્ષિત બનાવતું નથી જે તમે ચકાસ્યું નથી. ક્લાયન્ટને ઇચ્છિત ગેટવે ઓળખવો પડે છે, અને તે માટે સર્વર પ્રમાણપત્ર અને ક્લાયન્ટનું ભરોસો રૂપરેખાંકન છે. ફિશિંગ લૉગિનને હુમલાખોરના નિયંત્રણ હેઠળના સર્વર પર ખસેડીને કામ કરે છે, અને ત્યાં દાખલ કરેલો સાચો એકવાર કોડ વાસ્તવિક સમયમાં જ સાચી સેવા તરફ ફક્ત મોકલી દેવાય છે.

તેથી પદ્ધતિની પસંદગી વિનંતીના શબ્દો કરતાં વધુ પરિણામ બદલે છે. કોઈ વ્યક્તિ ટાઇપ કરેલો કોડ જે કોઈ વિશ્વાસપાત્ર પૃષ્ઠ બતાવી શકે તે મોકલી શકે છે, જ્યારે પ્રમાણીકરણને ચોક્કસ ઉદ્ભવ અને સત્ર સાથે જોડતી ક્રિપ્ટોગ્રાફિક પદ્ધતિઓ પોતાની રચનાથી જ આ મોકલવાનો સામનો કરે છે. તમારી પાસે આમાંથી કઈ છે તે પદ્ધતિની લાક્ષણિકતા છે, સંવાદમાં પગલાંની સંખ્યા નહીં.

સપ્લાયરની સમર્થિત નોંધણી અને ક્લાયન્ટ પ્રવાહનું પાલન કરો, પાસવર્ડ ક્ષેત્ર પર વધારાની વિનંતી જડવાને બદલે. ઘરે બનાવેલું બીજું પગલું સામાન્ય રીતે વચ્ચે ક્યાંક ઊતરે છે અને પરિબળને અર્થપૂર્ણ બનાવતા બંધન વગર ઘર્ષણ ઉમેરે છે.

પુનઃપ્રાપ્તિ એ બીજું આગળનું દરવાજો છે

દરેક મજબૂત લૉગિનને પ્રમાણક ખોવાઈ જાય ત્યારે પાછા ફરવાનો રસ્તો હોય છે, અને આ જ રસ્તો સામાન્ય રીતે રચનાનું સૌથી નબળું સ્થાન હોય છે. જો સહાય એજન્ટ નોંધાયેલા નંબર પર ફોન પછી બીજું પરિબળ રીસેટ કરી શકે, તો હુમલાખોર માટે સૌથી સસ્તો માર્ગ લૉગિન પૃષ્ઠ નહીં, સહાય ડેસ્ક છે.

પૂછો કે બદલી કેવી રીતે થાય છે, કોણ મંજૂર કરે છે અને કયા પુરાવા માંગે છે. પછી ચકાસો કે બેકઅપ કોડ જેવી પુનઃપ્રાપ્તિ સામગ્રી પ્રાથમિક ઓળખપત્રથી અલગ રખાય છે, જેથી એક ભંગ બંને ન સોંપી દે. NIST ની ડિજિટલ ઓળખ માર્ગદર્શિકા ચકાસકર્તાનું બંધન અને પ્રમાણકના જીવનચક્રને જરૂરિયાતનો ભાગ માને છે, પછીનો કાર્યાત્મક વિચાર નહીં.

મૂલ્યાંકનમાં શું લખવું

પરિબળોને પ્રકાર મુજબ વર્ણવો, દરેક શું સાબિત કરે છે તેનું નામ આપો અને તે ખાતા સાથે કેવી રીતે જોડાયેલું છે તે જણાવો. પદ્ધતિ મોકલવાનો સામનો કરે છે કે નહીં તે નોંધો, અને પુનઃપ્રાપ્તિ માર્ગનું વર્ણન લૉગિન જેટલી જ કાળજીથી કરો.

પછી સ્પષ્ટ કહો કે જમાવટ તે વ્યાખ્યા મુજબ બહુ-પરિબળ છે કે નહીં. „બે પાસવર્ડ અને એક મશીન પ્રમાણપત્ર“ પ્રામાણિક વાક્ય છે, અને તે વાચકને „હા“ કહેતા ચેકબોક્સ કરતાં ઘણું વધુ કહે છે.