Արդյո՞ք նույն նոթբուքի TOTP-ն իսկապես երկրորդ գործոն է։
VPN-ի նոթբուքի կոդի գեներատորը տիրապետման գործոն է, որը գտնվում է նույն վտանգման սահմանի ներսում։ Նախ հետևեք սերմին և սեսիային։
Մուտք գործեք VPN հաճախորդ, որը նախ գաղտնաբառ է պահանջում, ապա՝ վեցանիշ կոդ, և երկու հուշումները նման են երկու անկախ արգելքի։ Ըստ գործոնի տեսակի հաշվելիս դրանք այդպիսին են՝ գաղտնաբառը մի բան է, որ դուք գիտեք, կոդը՝ մի բան, որ դուք ունեք։ Ըստ այն բանի հաշվելիս, ինչ բացահայտում է մեկ վտանգված նոթբուք, դրանք կարող են միաձուլվել մեկ սահմանի մեջ, որովհետև այն, ինչ դուք ունեք, ֆայլ է այն մեքենայի վրա, որում մուտքագրում եք։ Այս երկու հաշվարկների միջև եղած տարբերությունը այս ուղեցույցի թեման է։
Հետևեք մեկ մուտքի՝ գաղտնաբառի դաշտից մինչև կոդի դաշտը
Դիտեք հաջորդականությունը, ոչ թե պիտակները։ Հաճախորդն ուղարկում է գաղտնաբառը, սերվերը պատասխանում է, որ երկրորդ ապացույց է անհրաժեշտ, և հաճախորդը բացում է դաշտ վեց կամ ութ թվանշանի համար։ Այդ դաշտի հետևում նստած է գեներատոր հավելված, որը պահում է ընդհանուր գաղտնիք և ժամացույց։ Այն արժեք է հաշվարկում գաղտնիքից և ընթացիկ ժամանակային քայլից, իսկ սերվերը վերահաշվարկում է նույն արժեքը գաղտնիքի իր պատճենից։
Երկու կողմերն էլ պահում են նույն բանալիային նյութը։ Այդ համաչափությունն այն մասն է, որը մարդիկ բաց են թողնում, երբ կոդը նկարագրում են որպես գաղտնիք՝ մատակարարը նույնպես կարող է ստեղծել ձեր կոդերը, դրա համար էլ սերմն ավելի արժեքավոր է, քան ցանկացած առանձին ելք։ Արտահոսած կոդը մեկանգամյա արժեք է, իսկ այն ստեղծած սերմը մշտական հավատարմագիր է, որը շարունակում է վավեր արժեքներ արտադրել, քանի դեռ այն չի փոխարինվել։
Ակտիվացումը հոսքի մյուս կեսն է։ Գեներատորը, որը բացվում է սարքի գաղտնաբառով, կենսաչափական հուշմամբ կամ գաղտնագրված տարանով, ներկայացնում է տիրապետման ապացույց և ևս մի բան։ Այն, որը աշխատում է առանց գաղտնագրման և բացվում է օպերացիոն համակարգի սեսիայով, ներկայացնում է միայն ֆայլը։ Նույն հավելվածը կարող է առաջարկել երկու դասավորությունն էլ՝ կախված նրանից, թե ինչպես է կատարվել գրանցումը, ուստի տեղակայման որոշումը այդ քայլում է, ոչ թե հավելվածի մարքեթինգային էջում։
Որոշեք, թե կոդն իրականում ինչ է ապացուցում
Ստանդարտների լեզուն այստեղ անսովոր պարզ է և արժանի ուղղակի ընթերցման։ NIST-ի նույնականացուցիչների ուղեցույցը թվարկում է ծրագրային OTP գեներատորները որպես նույնականացուցիչներ, տարբերում է միագործոն OTP-ն ակտիվացման գործոնով բազմագործոն OTP-ից և նշում, որ OTP նույնականացումը դիմացկուն չէ ֆիշինգի նկատմամբ։ Այս երեք դրույթներից յուրաքանչյուրը փոխում է, թե ինչ կարող եք պնդել հուշման մասին։
Ֆիշինգի նկատմամբ դիմացկուն չլինելը ամենասուր եզրն է։ Դաշտում մուտքագրված կոդը կարող է մուտքագրվել ուրիշի դաշտում՝ իրական ժամանակում, մարդու կողմից, ում համոզել են դա անել։ Պատուհանը կարճ է, ինչը նվազեցնում է օգտակար փորձերի քանակը, բայց չի փակում տեխնիկան։ Եթե ձեր պահանջը ներառում է դրան դիմակայելը, OTP-ն սխալ պրիմիտիվ է՝ անկախ նրանից, թե որտեղ է աշխատում գեներատորը։
Միագործոնն ընդդեմ բազմագործոնի երկրորդ տարբերությունն է։ Կոդը, որը հայտնվում է առանց ակտիվացման քայլի, ապացուցում է ֆայլի տիրապետումը և ուրիշ ոչինչ, իսկ ֆայլը նույնքան ուժեղ է, որքան այն հաշիվը, որը կարող է կարդալ այն։ Ավելացրեք ակտիվացման գործոն, և պնդումը լավանում է, թեև այն դեռ նկարագրում է մուտքի պահին ներկայացված ապացույցը, ոչ թե այն արտադրող մեքենայի մեկուսացումը։
Տեսեք, թե վտանգված նոթբուքը ինչի կարող է հասնել
Աշխատանքային կայանում կոդի կատարման հասանելիություն ունեցող հարձակվողը չի սահմանափակվում ձեր մուտքագրած դաշտը կարդալով։ Հաջող մուտքից հետո հաստատված սեսիան սովորաբար թոքեն կամ քուքի է, և թոքենը կարելի է օգտագործել այլ մեքենայից՝ բացարձակապես առանց կոդի։ Եթե դա է այն կարողությունը, որի դեմ պաշտպանվում եք, մուտքի պահին երկրորդ հուշում ավելացնելը փոխում է հարձակման քայլերի քանակը, ոչ թե արդյունքը։
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Երրորդ սյունակը կարդացեք որպես ազնիվը։ Վերևի յուրաքանչյուր դասավորություն ինչ-որ բան թողնում է աշխատանքային կայանի վստահության սահմանի ներսում, քանի որ սեսիան հենց այնտեղ է օգտագործվում։ Փոխվում է այն, թե երկարաժամկետ գաղտնիքը ճամփորդում է այդ սահմանի հետ, թե մնում է դրսում, և թե արդյոք ապացույցը կապված է որոշակի ծագման հետ, որպեսզի նմանակող էջը չկարողանա փոխանցել այն։
Երկու փոքր մանրամասնություններ պատկանում են նույն պատկերին։ Կոդը վավեր է մնում իր ընդունման պատուհանի ընթացքում, հաճախ երեսուն վայրկյան գումարած ժամացույցի շեղման հանդուրժողականություն, ուստի որսացված արժեքը կարող է վերարտադրվել այդ պատուհանի ներսում, եթե ստուգողը չհրաժարվի կրկնակի օգտագործումից։ Իսկ նոր գեներատոր տեղադրելը չի դադարեցնում արդեն նույնականացված սեսիաները, ուստի հին սեսիան ապրում է ավելի երկար, քան այն հավատարմագրի փոփոխությունը, որը պետք է զսպեր միջադեպը։
Տեղափոխեք գեներատորը միայն այնտեղ, որտեղ տարանջատումն օգնում է
Կոդի գեներատորը հեռախոսի վրա դնելը իրական բարելավում է մեկ կոնկրետ խափանման համար՝ գողացված նոթբուքն այլևս չի կրում երկու ապացույցները։ Այն ոչինչ չի անում նոթբուքի վրա սեսիայի առևանգման դեմ, ոչինչ չի անում ֆիշինգային էջում կոդ մուտքագրող օգտատիրոջ համար, և ոչինչ չի անում այն վերականգնման կոդերի համար, որոնք մեկ անգամ տպվել և լուսանկարվել են նոթատետրի հավելվածում։
Ուստի գրեք պահանջը նախքան գործիքը ընտրելը։ Եթե նպատակը արտահոսած գաղտնաբառի դեմ լրացուցիչ ապացույցն է, ասացեք դա ուղղակիորեն, և նույն սարքի հավելվածն արդեն տալիս է այն։ Եթե նպատակը VPN աշխատանքային կայանի վտանգման դիմակայունությունն է, անվանեք հարձակվողի այդ կարողությունը և ընտրեք դրա համար գնահատված դասավորություն՝ ֆիշինգի պահանջը առանձին նշելով, ոչ թե ենթադրելով։
Ապա զբաղվեք գործառնական կեսով, որը որոշում է, թե դրանից որևէ բան կդիմանա միջադեպի հետ շփմանը։ Սարքի կորուստը պահանջում է փաստաթղթավորված փոխարինման ուղի, հավատարմագրերի պտույտը պահանջում է ակտիվ սեսիաների չեղարկում, իսկ գրանցման նյութը պահանջում է նույն պաշտպանությունը, ինչ սերմը, քանի որ անպաշտպան գրանցման պատճենը հարձակվողին տալիս է նույն ապագա կոդերը ավելի կարճ ճանապարհով։ Այս չորս կետերը թվարկելը ավելի օգտակար է, քան վիճելը՝ արդյոք նույն սարքի թոքենները լավ են, թե անարժեք։