Երկու գաղտնաբառի հարցում MFA չէ. ինչ է ստուգում VPN մուտքը
Երկրորդ գաղտնաբառի դաշտը, ուժեղ գաղտնագրումը և սարքի վկայականը յուրաքանչյուրն ինչ-որ բան ապացուցում են։ Որպես բազմագործոն հաշվվում են միայն մեկ հաշվի հետ կապված տարբեր գործոնները։
Մուտքի էջը պահանջում է գաղտնաբառ, ապա երկրորդ գաղտնիք, և տեղակայումը անմիջապես նկարագրվում է որպես բազմագործոն։ Երբեմն այդպես է։ Հաճախ դա մեկ գործոն է՝ հավաքված երկու անգամ, քանի որ երկու արժեքներն էլ գիտելիք են, որը նույն մարդը մուտքագրել է նույն հիշողությունից կամ նույն նշումից։ Ուժեղ թունելային գաղտնագրումը դա չի փոխում, և ապրանքի անվան մեջ «անվտանգ» բառը նույնպես։
Պնդումը մեխանիզմից առանձնացնելու համար պետք է մեկ հարց՝ ինչ է ապացուցում յուրաքանչյուր քայլը և ում համար։
Գործոնը ապացույց է, ոչ դաշտ
Բազմագործոն նույնականացումը նշանակում է, որ նույն հաշվի համար ստուգվում է ապացույցի մեկից ավելի տարբեր տեսակ՝ ինչ-որ բան, որ օգտվողը գիտի, ինչ-որ բան, որ ունի, ինչ-որ բան, որ ինքն է։ Երկու դաշտեր, որոնք երկուսն էլ հավաքում են հիշված տող, ապացույցի մեկ տեսակ են՝ պահանջված երկու անգամ։ Դա կարող է օգտակար վերահսկողություն լինել, քանի որ երկու անկախ գաղտնիք ավելի դժվար է գուշակել, քան մեկը, բայց դա այն չէ, ինչ նկարագրում է տերմինը, և ռիսկի գնահատման մեջ այն չպետք է այդպես հաշվվի։
Ստուգման կողմը նույնքան կարևոր է, որքան հավաքման կողմը։ Սարքում ստեղծված կոդը ապացուցում է այդ սարքի նկատմամբ վերահսկողությունը միայն այն դեպքում, եթե սերվերը ստուգում է այն այս հաշվին կապված գաղտնիքի հետ և մերժում կրկնությունները։ Համօգտագործվող կոդը, որ աշխատում է բոլորի համար, անսահմանափակ կոդը կամ սարքում հաստատված հարցումը, որը երբեք չի ցուցադրում, թե ինչ է հաստատվում, բոլորն ավելի թույլ են, քան պիտակն է հուշում։
Ուստի երբ ինչ-որ մեկը հարցնում է՝ VPN-ն ունի MFA, հարցրեք՝ ինչ է ապացուցում երկրորդ քայլը և ինչպես է սերվերը կապում այն։ Եթե պատասխանը «երկրորդ գաղտնաբառ նույն գրացուցակից» է, դուք ունեք մեկ գործոն և քաղաքականության մասին զրույց, ոչ թե երկրորդ գործոն։
Վկայականի դեպքը պետք է կարդալ, ոչ ենթադրել
Հաճախորդի վկայականը գումարած գաղտնաբառը կարծես երկու գործոն լինի, և կարող է լինել՝ վկայականը պահվում է պահոցում կամ թոքենի վրա, իսկ գաղտնաբառը հիշվում է։ Այն կարող է լինել նաև մեկ, եթե վկայականի ֆայլը պաշտպանված չէ նույն պրոֆիլի գրացուցակում, որտեղ պահված գաղտնաբառն է, կամ եթե վկայականը տրվել է սարքի, որը մի քանի մարդ օգտագործում է առանց անհատական պատասխանատվության։
Լուծելիք հարցն այն է, թե ում կամ ինչ է նույնականացնում վկայականը։ Սարքի վկայականը ապացուցում է, որ կառավարվող մեքենա կա։ Օգտվողի վկայականը ապացուցում է ինքնություն։ Եթե տեղակայումը տալիս է մեկ վկայական յուրաքանչյուր նոթբուքի համար, ապա դրա առկայությունը համարում է անձի ապացույց, երկրորդ գործոնը լուռ դարձել է սարքավորումների հատկություն, որը ժառանգում է նոթբուքը ձեռքին ունեցողը։
Այս ոչ մեկը վկայականներին վատ միտք չի դարձնում։ Այն սարքի երաշխիքը և օգտվողի երաշխիքը տարբերելը գրառման արժանի է դարձնում, քանի որ երկուսը պատասխանում են տարբեր հարցերի, և համապատասխանության աղյուսակը, որ դրանք մեկ է համարում, կգերագնահատի պաշտպանվածը։
Դարպասի նկատմամբ վստահությունը և օգտվողի նկատմամբ վստահությունը առանձին խնդիրներ են
Երկրորդ գործոնը անվտանգ չի դարձնում հավատարմագրերի մուտքագրումը մի վերջնակետ, որը դուք չեք ստուգել։ Հաճախորդը պետք է ճանաչի նախատեսված դարպասը, և դրա համար են սերվերի վկայականն ու հաճախորդի վստահության կարգավորումը։ Ֆիշինգը աշխատում է՝ մուտքը տեղափոխելով սերվեր, որը վերահսկում է հարձակվողը, և այնտեղ մուտքագրված ճիշտ մեկանգամյա կոդը պարզապես իրական ժամանակում փոխանցվում է իրական ծառայությանը։
Ահա թե ինչու մեթոդի ընտրությունը փոխում է արդյունքը ավելի, քան հարցման ձևակերպումը։ Մարդու մուտքագրած կոդերը կարող է փոխանցել ցանկացած ոք, ով կարող է համոզիչ էջ ցուցադրել, մինչդեռ նույնականացումը կոնկրետ ծագման և սեսիայի հետ կապող գաղտնագրային մեթոդները դիմակայում են այդ փոխանցմանը իրենց ձևավորումով։ Դրանցից որն ունեք՝ մեթոդի հատկություն է, ոչ թե երկխոսության քայլերի քանակ։
Հետևեք մատակարարի աջակցվող գրանցմանը և հաճախորդի հոսքին՝ գաղտնաբառի դաշտին լրացուցիչ հարցում պտուտակելու փոխարեն։ Տնական երկրորդ քայլը սովորաբար վայրէջք է կատարում ինչ-որ տեղ մեջտեղում՝ ավելացնելով շփում առանց այն կապի, որը գործոնը դարձնում է իմաստալից։
Վերականգնումը երկրորդ առջևի դուռն է
Յուրաքանչյուր ուժեղ մուտք ունի վերադարձի ճանապարհ, երբ նույնականացուցիչը կորչում է, և հենց այդ ճանապարհն է սովորաբար ձևավորման ամենաթույլ տեղը։ Եթե աջակցության գործակալը կարող է զրոյացնել երկրորդ գործոնը գրանցված համարին զանգից հետո, հարձակվողի համար ամենաէժան ուղին աջակցության սեղանն է, ոչ թե մուտքի էջը։
Հարցրեք՝ ինչպես է աշխատում փոխարինումը, ով է հաստատում այն և ինչ ապացույցներ են պահանջում։ Ապա ստուգեք, որ վերականգնման նյութը, օրինակ պահուստային կոդերը, պահվում է առանձին հիմնական հավատարմագրից, որպեսզի մեկ խախտումը չհանձնի երկուսը։ NIST-ի թվային ինքնության ուղեցույցը վերիֆիկատորի կապումը և նույնականացուցիչի կյանքի ցիկլը համարում է պահանջի մաս, ոչ թե գործառնական ուշ միտք։
Ինչ գրել գնահատման մեջ
Նկարագրեք գործոնները ըստ տեսակի, նշեք, թե ինչ է ապացուցում յուրաքանչյուրը, և նշեք, թե ինչպես է այն կապված հաշվին։ Նշեք՝ արդյոք մեթոդը դիմակայում է փոխանցմանը, և նկարագրեք վերականգնման ուղին նույն խնամքով, ինչ մուտքը։
Ապա հստակ ասեք՝ արդյոք տեղակայումը բազմագործոն է այդ սահմանմամբ։ «Երկու գաղտնաբառ և մեքենայի վկայական» ազնիվ նախադասություն է, և ընթերցողին շատ ավելի շատ բան է ասում, քան «այո» ասող նշատուփը։