Valóban második tényező a TOTP ugyanazon a laptopon?
A VPN-laptopon futó kódgenerátor olyan birtoktényező, amely ugyanazon a kompromittálási határon belül van. Először a seedet és a munkamenetet kövesse.
Jelentkezzen be egy VPN-kliensbe, amely először jelszót, majd hatjegyű kódot kér, és két felszólítás két független akadálynak tűnik. Tényezőtípus szerint számolva azok is: a jelszó valami, amit tud, a kód valami, amivel rendelkezik. Aszerint számolva, amit egyetlen kompromittált laptop felfed, egyetlen határrá olvadhatnak össze, mert amivel rendelkezik, az egy fájl azon a gépen, amelybe gépel. E két számbavétel közötti különbség e bemutató témája.
Kövessen végig egy bejelentkezést a jelszómezőtől a kódmezőig
A sorrendet figyelje, ne a címkéket. A kliens elküldi a jelszót, a kiszolgáló azt válaszolja, hogy második bizonyíték kell, és a kliens mezőt nyit hat vagy nyolc számjegynek. A mező mögött egy generátoralkalmazás ül, amely megosztott titkot és órát tart. Értéket számol a titokból és az aktuális időlépésből, a kiszolgáló pedig ugyanazt az értéket számolja újra a titok saját példányából.
Mindkét fél ugyanazt a kulcsanyagot tartja. Ez a szimmetria az a rész, amelyet az emberek kihagynak, amikor a kódot titokként írják le: a szolgáltató az Ön kódjait is elő tudja állítani, ezért a seed többet ér bármely egyedi kimenetnél. A kiszivárgott kód egyszeri érték; az őt létrehozó seed állandó hitelesítő adat, amely érvényes értékeket termel, amíg le nem cserélik.
Az aktiválás az áramlás másik fele. Az a generátor, amely eszközkóddal, biometrikus felszólítással vagy titkosított tárolóval nyílik, birtokbizonyítékot és még valamit mutat. Az, amely titkosítás nélkül fut és az operációs rendszer munkamenetével nyílik, csak a fájlt mutatja. Ugyanaz az alkalmazás mindkét elrendezést kínálhatja attól függően, hogyan történt a regisztráció, tehát a bevezetési döntés abban a lépésben van, nem az alkalmazás marketingoldalán.
Döntse el, mit bizonyít valójában a kód
A szabványok nyelve itt szokatlanul világos, és érdemes közvetlenül elolvasni. A NIST hitelesítőkre vonatkozó útmutatója szoftveres OTP-generátorokat sorol fel hitelesítőkként, megkülönbözteti az egyfaktoros OTP-t a többfaktoros OTP-től aktiválási tényezővel, és kimondja, hogy az OTP-hitelesítés nem adathalászat-ellenálló. E három kitétel mindegyike megváltoztatja, mit állíthat a felszólításról.
A nem adathalászat-ellenálló képesség a legélesebb él. A mezőbe gépelt kódot valaki más mezőjébe is be lehet gépelni, valós időben, olyan ember által, akit erre rábeszéltek. Az ablak rövid, ami csökkenti a hasznos kísérletek számát, de nem zárja be a technikát. Ha követelménye tartalmazza az ez elleni ellenállást, az OTP a rossz primitív, függetlenül attól, hol fut a generátor.
Az egyfaktoros kontra többfaktoros a második megkülönböztetés. Az aktiválási lépés nélkül megjelenő kód egy fájl birtoklását bizonyítja és semmi mást, a fájl pedig csak olyan erős, mint a fiók, amely olvasni tudja. Adjon hozzá aktiválási tényezőt, és az állítás javul, bár még mindig a bejelentkezéskor bemutatott bizonyítékot írja le, nem az azt előállító gép elkülönítését.
Nézze meg, hová érhet el egy kompromittált laptop
A munkaállomáson kódvégrehajtással rendelkező támadó nincs arra korlátozva, hogy olvassa a mezőt, amelybe gépel. A sikeres bejelentkezés után létrehozott munkamenet általában token vagy cookie, és a token más gépről is használható, mindenféle kód nélkül. Ha ez az a képesség, amely ellen védekezik, egy második felszólítás hozzáadása a bejelentkezéskor a támadás lépéseinek számát változtatja meg, nem az eredményt.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
A harmadik oszlopot olvassa a becsületesként. A fenti elrendezések mindegyike hagy valamit a munkaállomás bizalmi határán belül, mert a munkamenetet ott használják. Az változik, hogy a hosszú életű titok ezzel a határral utazik-e vagy azon kívül marad, és hogy a bizonyíték kötődik-e meghatározott forráshoz, hogy egy utánzó oldal ne tudja továbbítani.
Két kisebb részlet tartozik ugyanahhoz a képhez. A kód az elfogadási ablakában érvényes marad, gyakran harminc másodperc plusz óraelcsúszás tolerancia, így egy elfogott érték ezen az ablakon belül újrajátszható, hacsak az ellenőrző nem utasítja el az újrafelhasználást. És egy új generátor telepítése nem szünteti meg a már hitelesített munkameneteket, így egy elavult munkamenet túléli azt a hitelesítőadat-váltást, amelynek az incidenst korlátoznia kellett volna.
Csak oda mozgassa a generátort, ahol a szétválasztás segít
A kódgenerátor telefonra helyezése valódi javulás egy konkrét meghibásodásra: egy ellopott laptop már nem hordozza mindkét bizonyítékot. Nem tesz semmit a laptopon történő munkamenet-eltérítés ellen, semmit az adathalász oldalra kódot gépelő felhasználóért, és semmit a helyreállítási kódokért, amelyeket egyszer kinyomtattak és lefotóztak egy jegyzetalkalmazásba.
Tehát írja meg a követelményt, mielőtt az eszközt választja. Ha a cél egy plusz bizonyíték egy kiszivárgott jelszó ellen, mondja ki egyenesen, és az ugyanazon az eszközön futó alkalmazás ezt már nyújtja. Ha a cél a VPN-munkaállomás kompromittálásával szembeni ellenálló képesség, nevezze meg azt a támadóképességet, és válasszon rá kiértékelt elrendezést, az adathalász követelményt pedig külön mondja ki, ne feltételezze.
Aztán foglalkozzon az operatív felével, amely eldönti, hogy bármi ebből túlél-e egy incidenssel való találkozást. Az eszköz elvesztése dokumentált csereútvonalat igényel, a hitelesítő adatok rotációja az aktív munkamenetek visszavonását igényli, a regisztrációs anyag pedig ugyanazt a védelmet igényli, mint a seed, mivel a védelem nélküli regisztrációs másolat ugyanazokat a jövőbeli kódokat adja a támadónak rövidebb úton. E négy pont felsorolása hasznosabb, mint vitatkozni azon, hogy az ugyanazon eszközön lévő tokenek jók-e vagy értéktelenek.