Két jelszókérés még nem MFA: mit ellenőriz egy VPN-bejelentkezés

A bejelentkezési oldal jelszót kér, majd egy második titkot, és a telepítést rögtön többtényezősként írják le. Néha valóban az. Gyakran viszont egyetlen tényező, kétszer begyűjtve, mert mindkét érték tudás, amelyet ugyanaz a személy ugyanabból az emlékezetből vagy ugyanabból a jegyzetből írt be. Egy erős alagút-titkosítás ezen nem változtat, és a termék nevében szereplő „biztonságos” szó sem.

Az állítás és a mechanizmus szétválasztásához egyetlen kérdés kell: mit bizonyít az egyes lépés, és kinek?

A tényező bizonyíték, nem mező

A többtényezős hitelesítés azt jelenti, hogy ugyanahhoz a fiókhoz egynél több különböző fajta bizonyítékot ellenőriznek: amit a felhasználó tud, amivel rendelkezik, ami ő maga. Két mező, amely mindkettő egy megjegyzett karaktersort gyűjt, egyetlen fajta bizonyíték, kétszer kérve. Ez lehet hasznos kontroll, mert két független titkot nehezebb kitalálni, mint egyet, de nem ezt írja le a kifejezés, és egy kockázatértékelésben nem szabad annak számítani.

Az ellenőrzés oldala legalább olyan fontos, mint a gyűjtés oldala. Az eszközön generált kód csak akkor bizonyítja az eszköz feletti ellenőrzést, ha a kiszolgáló ellenőrzi egy ehhez a fiókhoz kötött titokkal szemben, és elutasítja az ismétléseket. A mindenki számára működő közös kód, a korlát nélküli kód vagy a soha nem mutatja meg, mi kerül jóváhagyásra, elven jóváhagyott kérés mind gyengébbek annál, amit a címke sugall.

Tehát amikor valaki azt kérdezi, van-e a VPN-nek MFA-ja, kérdezze meg, mit bizonyít a második lépés, és hogyan köti azt a kiszolgáló. Ha a válasz „egy második jelszó ugyanabból a címtárból”, akkor egy tényezője és egy szabályzatbeszélgetése van, nem egy második tényezője.

A tanúsítvány esetét olvasni kell, nem feltételezni

Az ügyféltanúsítvány és a jelszó két tényezőnek látszik, és az is lehet: a tanúsítvány tárolóban vagy tokenen van, a jelszót pedig megjegyzik. Lehet viszont egy is, ha a tanúsítványfájl védelem nélkül ugyanabban a profilkönyvtárban van, mint a mentett jelszó, vagy ha a tanúsítványt olyan eszköznek adták ki, amelyet többen, egyéni felelősség nélkül használnak.

A tisztázandó kérdés az, hogy kit vagy mit azonosít a tanúsítvány. Az eszköztanúsítvány azt bizonyítja, hogy jelen van egy kezelt gép. A felhasználói tanúsítvány egy személyazonosságot bizonyít. Ha a telepítés laptoponként egy tanúsítványt ad ki, majd annak jelenlétét a személy bizonyítékaként kezeli, a második tényező csendben a hardver tulajdonságává vált, amelyet örököl, aki csak fogja a laptopot.

Mindez nem teszi rossz ötletté a tanúsítványokat. Csak érdemessé teszi leírásra az eszközbiztonság és a felhasználóbiztonság megkülönböztetését, mert a kettő különböző kérdésekre válaszol, és egy megfelelőségi táblázat, amely egynek számolja őket, túlbecsüli, mi van védve.

Az átjáróba vetett bizalom és a felhasználóba vetett bizalom külön problémák

A második tényező nem teszi biztonságossá, hogy olyan végpontba írjon be hitelesítő adatokat, amelyet nem ellenőrzött. Az ügyfélnek fel kell ismernie a szándékolt átjárót, erre valók a kiszolgálótanúsítvány és az ügyfél bizalmi konfigurációja. Az adathalászat úgy működik, hogy a bejelentkezést a támadó által irányított kiszolgálóra helyezi át, és az ott beírt helyes egyszeri kódot egyszerűen valós időben továbbítják a valódi szolgáltatásnak.

Ezért a módszer választása jobban megváltoztatja az eredményt, mint a kérés megfogalmazása. Az ember által beírt kódokat bárki továbbíthatja, aki meg tud mutatni egy meggyőző oldalt, a hitelesítést viszont az adott eredethez és munkamenethez kötő kriptográfiai módszerek tervezésüknél fogva ellenállnak az ilyen továbbításnak. Hogy melyikből van, a módszer tulajdonsága, nem a párbeszédablak lépéseinek száma.

Kövesse a szállító által támogatott regisztrációt és ügyfélfolyamatot, ahelyett hogy egy extra kérést csavarozna a jelszómezőre. A házilag készült második lépés általában valahol a kettő között landol, súrlódást adva a kapcsolat nélkül, amely értelmessé tenné a tényezőt.

A helyreállítás a második bejárati ajtó

Minden erős bejelentkezésnek van visszavezető útja, ha a hitelesítő elveszik, és az az út az, ahol a tervezés általában a leggyengébb. Ha egy ügyfélszolgálati munkatárs a nyilvántartott számra tett hívás után visszaállíthatja a második tényezőt, a támadó legolcsóbb útvonala az ügyfélszolgálat, nem a bejelentkezési oldal.

Kérdezze meg, hogyan működik a csere, ki hagyja jóvá, és milyen bizonyítékot kérnek. Ezután ellenőrizze, hogy a helyreállítási anyagot, például a tartalék kódokat, elkülönítve tartják-e az elsődleges hitelesítő adattól, hogy egyetlen kompromittálás ne adja át mindkettőt. A NIST digitális identitásról szóló útmutatása az ellenőrző kötését és a hitelesítő életciklusát a követelmény részének tekinti, nem operatív utógondolatnak.

Mit írjon az értékelésbe

Írja le a tényezőket fajták szerint, nevezze meg, mit bizonyít mindegyik, és adja meg, hogyan kötődik a fiókhoz. Jegyezze fel, ellenáll-e a módszer a továbbításnak, és írja le a helyreállítási utat ugyanolyan gondossággal, mint a bejelentkezést.

Utána mondja ki egyértelműen, hogy a telepítés e meghatározás szerint többtényezős-e. „Két jelszó és egy géptanúsítvány” tisztességes mondat, és sokkal többet mond az olvasónak, mint egy pipa, amely igent mond.