VPN-ի MFA հարցումը մերժվեց՝ ինչ պետք է անի հաճախորդը

Մերժված MFA հարցումը թվում է ցանցային խնդիր և այդպիսին չէ։ Սերվերը պահանջեց երկրորդ գործոն, գործոնը վերադարձավ բացասական կամ ընդհանրապես չհասավ, և նստաշրջանը մերժվեց մինչև որևէ թունելի գոյությունը։ Ինչ տեղի է ունենում հետո, հաճախորդի վարքագծի հարց է. բացահայտե՞լ ձախողումը և թույլ տալ օգտատիրոջը սկսել մաքուր փորձ, թե՞ կրկնել այնպես, որ ավելի շատ հարցումներ ստեղծվի և ի վերջո գործարկի հաշվի պաշտպանությունը։ Երկրորդ ուղին է, թե ինչպես է մեկ սխալ մուտքագրված կոդը դառնում արգելափակված հաշիվ։

Ստուգե՛ք, թե որ հարցումն է ձախողվել

Սկսե՛ք նույնականացնելով, թե որ հարցումն է ձախողվել։ Push ծանուցումը, TOTP կոդը, FIDO հաստատումը և SAML հոսքը յուրաքանչյուրը տարբեր կերպ է ձախողվում, և հաճախորդը սովորաբար գիտի, թե որն է պահանջել։ Մերժումը, ժամկետանց մարտահրավերը և առաքման ձախողումը, որը երբեք չի հասել սարքին, բոլորը վերջանում են նույն ընդհանուր սխալով, ուստի տարբերությունը հաճախ մնում է միայն հենց հաճախորդի վիճակում։

Այդ վիճակը արժե գրանցել ճշգրիտ։ Գրանցե՛ք մարտահրավերի նույնացուցիչը կամ գործարքի հղումը, գործոնի տեսակը, ժամանակի դրոշմը և արդյունքը, բայց երբեք՝ կոդը կամ հաստատումը։ Մարտահրավերի նույնացուցիչն է, ինչը թույլ է տալիս ադմինիստրատորին գտնել իրադարձությունը ինքնության մատակարարի կողմում. առանց դրա աջակցության զրույցը սկսվում է «ինչ-որ պահի վերջին ժամվա ընթացքում» արտահայտությամբ և սովորաբար այնտեղ էլ ավարտվում։ Վերաբերվե՛ք դրան որպես ախտորոշիչ մետատվյալ, ոչ որպես գաղտնիք։

Կրկնե՛ք մեկ անգամ, դիտավորյալ, նոր մարտահրավերով

Կրկնափորձը պետք է լինի նոր փորձ նոր մարտահրավերով, ոչ հինի վերարտադրություն։ Երբ հաճախորդը վերօգտագործում է նախորդ մարտահրավերը, ինքնության մատակարարը կամ մերժում է այն որպես հնացած, կամ, ավելի վատ, ընդունում է հաստատում, որը նախատեսված էր ավելի վաղ փորձի համար։ Պահանջե՛ք թարմ մարտահրավեր, ցուցադրե՛ք այն և թույլ տվե՛ք օգտատիրոջը գործել այն մեկի հիման վրա, որն այժմ էկրանին է։

Երկու փորձ՝ նրանց միջև կարճ դադարով, ողջամիտ լռելյայն է. անսահմանափակ հանգույցը՝ ոչ։ Եթե երկրորդ փորձը ձախողվում է նույն կերպ, կանգ առե՛ք և զեկուցե՛ք՝ շարունակելու փոխարեն։

Ինչ չպետք է անի հաճախորդը

Հաճախորդը չպետք է անի մի քանի բաներ, որոնք օգտակար են թվում և այդպիսին չեն։ Չպետք է շարունակի ուղարկել push ծանուցումներ, մինչև ինչ-որ մեկը սեղմի «հաստատել», որովհետև դա սովորեցնում է օգտատերերին հաստատել հարցումներ, որոնք իրենք չեն սկսել, և դա հենց այն վարքագիծն է, որի վրա հենվում են ֆիշինգային հավաքածուները։ Չպետք է հետ վերադառնա ավելի թույլ գործոնի, քանի որ ուժեղը ձախողվեց, և չպետք է անջատի սերվերի ինքնության ստուգումը, որպեսզի շրջանցի նույն ժամանակ ի հայտ եկած վկայագրի բողոքը։ Այդ երեք կարճուղիներից յուրաքանչյուրը նույնականացման ձախողումը վերածում է անվտանգության միջադեպի։

Չպետք է նաև լուռ կուլ տա ձախողումը։ Այն հաճախորդը, որը փակում է կապը և ցույց է տալիս պտտվող ցուցիչ, օգտատիրոջը թողնում է առանց պատկերացման՝ արդյոք կրկնել, սպասել, թե՞ զանգահարել աջակցություն։ Բացահայտե՛ք ձախողումը գործոնի տեսակով և կարճ կոդով, պահե՛ք հաղորդագրությունը գաղտնիքներից զերծ և դարձրե՛ք կրկնափորձի գործողությունը բացահայտ՝ ավտոմատի փոխարեն։

Եթե հարցումը չի սկսել ստեղնաշարի մոտ նստած անձը, ճիշտ գործողությունը այն մերժված թողնելն ու ստուգված աջակցության ուղիով զեկուցելն է։ Աղմուկը դադարեցնելու համար հարցումը հաստատելը ձախողման ձևն է, ոչ լուծումը։

Ինչ գրանցել աջակցության համար

Աջակցության համար օգտակար գրառումը փոքր է։ Մոտավոր ժամանակը՝ ժամային գոտու հետ, հաշիվը, հաճախորդն ու տարբերակը, գործոնի տեսակը և յուրաքանչյուր փորձի ոչ գաղտնի կարգավիճակը՝ պահանջվել է, մերժվել է, ժամկետը լրացել է, հաստատվել է, բայց քաղաքականությունը մերժել է։

Ուշադրության մեջ պահե՛ք նաև հաճախորդի և սերվերի ժամացույցները։ TOTP-ն ժամանակային պատուհանի ստուգում է, ուստի շեղված ժամացույցով սարքը ստեղծում է վավեր թվացող կոդեր, որոնք ամեն անգամ ձախողվում են, և այն հաճախորդը, որը հայտնում է անվավեր կոդի մասին՝ չնշելով շեղումը, մարդկանց ուղարկում է վերակայելու հավատարմագրեր, որոնք երբեք սխալ չեն եղել։ Օգտատերը, ում մուտքը կրկնվող ձախողվում է, պետք է ստուգի աջակցվող հաճախորդի տարբերակը, գրանցման վիճակը և փաստաթղթավորված վերականգնման հոսքը՝ նախքան ավելի շատ հարցումներ ստեղծելը։

Վերականգնման ուղին արժանի է նույն խնամքին, ինչ մուտքի ուղին։ Կորսված սարքի աշխատահոսքը գոյություն ունի հենց այն բանի համար, որ մերժումը չդառնա նույնականացումը շրջանցելու թույլտվություն, և հաճախորդը պետք է հղում տա կազմակերպության փաստաթղթավորված գործընթացին՝ սեփականը հորինելու փոխարեն։

Կանոնը, որի վրա պետք է կառուցել, այն է, որ մերժումը արդյունք է, ոչ խոչընդոտ։ Զեկուցե՛ք դրա մասին մեկ անգամ, հստակ, գործելու համար բավարար համատեքստով, և թողե՛ք հաջորդ փորձը նոր լինի։ CISA-ի ուղեցույցը ֆիշինգին դիմացող MFA-ի վերաբերյալ բացատրում է, թե ինչու է «հարցրու, մինչև հաստատվի» օրինաչափությունը վտանգավոր հենց սկզբից, և հենց այն է հղումը, որն արժե մեջբերել, երբ ինչ-որ մեկը առաջարկում է կրկնափորձերի հանգույց։ Այն ամենը, ինչ հաճախորդը ավելացնում է մերժումից հետո, պետք է հաջորդ որոշումը մարդու համար ավելի հեշտ դարձնի, ոչ թե վերցնի որոշումը նրանից։