Dua permintaan kata sandi bukan MFA: apa yang diverifikasi login VPN

Halaman login meminta kata sandi, lalu rahasia kedua, dan penerapannya langsung digambarkan sebagai multifaktor. Kadang memang begitu. Sering kali itu satu faktor yang dikumpulkan dua kali, karena kedua nilai adalah pengetahuan yang diketik orang yang sama dari memori yang sama atau catatan yang sama. Cipher terowongan yang kuat tidak mengubah itu, dan kata „aman“ pada nama produk juga tidak.

Memisahkan klaim dari mekanismenya hanya membutuhkan satu pertanyaan: apa yang dibuktikan setiap langkah, dan kepada siapa?

Faktor adalah bukti, bukan bidang

Autentikasi multifaktor berarti lebih dari satu jenis bukti yang berbeda diverifikasi untuk akun yang sama: sesuatu yang diketahui pengguna, sesuatu yang dimilikinya, sesuatu yang dia. Dua bidang yang keduanya mengumpulkan untai yang diingat adalah satu jenis bukti yang diminta dua kali. Itu bisa menjadi kontrol yang berguna, karena dua rahasia independen lebih sulit ditebak daripada satu, tetapi bukan itu yang dijelaskan istilah tersebut dan tidak boleh dihitung demikian dalam penilaian risiko.

Sisi verifikasi sama pentingnya dengan sisi pengumpulan. Kode yang dihasilkan pada perangkat hanya membuktikan kendali atas perangkat itu jika server memeriksanya terhadap rahasia yang terikat pada akun ini dan menolak pengulangan. Kode bersama yang berlaku untuk semua orang, kode tanpa batas, atau permintaan yang disetujui pada perangkat yang tidak pernah menampilkan apa yang sedang disetujui, semuanya lebih lemah daripada yang disiratkan label.

Jadi ketika seseorang bertanya apakah VPN memiliki MFA, tanyakan apa yang dibuktikan langkah kedua dan bagaimana server mengikatnya. Jika jawabannya „kata sandi kedua dari direktori yang sama“, Anda memiliki satu faktor dan percakapan kebijakan, bukan faktor kedua.

Kasus sertifikat perlu dibaca, bukan diasumsikan

Sertifikat klien plus kata sandi tampak seperti dua faktor, dan bisa jadi demikian: sertifikat disimpan di penyimpanan atau pada token, dan kata sandi diingat. Bisa juga hanya satu, jika berkas sertifikat berada tanpa perlindungan di direktori profil yang sama dengan kata sandi tersimpan, atau jika sertifikat diterbitkan untuk perangkat yang dipakai bersama beberapa orang tanpa akuntabilitas individual.

Pertanyaan yang harus diselesaikan adalah siapa atau apa yang diidentifikasi sertifikat. Sertifikat perangkat membuktikan bahwa mesin terkelola hadir. Sertifikat pengguna membuktikan identitas. Jika penerapan menerbitkan satu sertifikat per laptop lalu memperlakukan keberadaannya sebagai bukti orang tersebut, faktor kedua diam-diam menjadi properti perangkat keras yang diwarisi siapa pun yang memegang laptop itu.

Tidak ada yang membuat sertifikat menjadi ide buruk. Ini membuat perbedaan antara jaminan perangkat dan jaminan pengguna layak dituliskan, karena keduanya menjawab pertanyaan berbeda dan lembar kepatuhan yang menghitungnya sebagai satu akan melebih-lebihkan apa yang dilindungi.

Kepercayaan pada gateway dan kepercayaan pada pengguna adalah masalah terpisah

Faktor kedua tidak membuat pengetikan kredensial ke titik akhir yang belum Anda verifikasi menjadi aman. Klien harus mengenali gateway yang dimaksud, dan untuk itulah sertifikat server serta konfigurasi kepercayaan klien ada. Phishing bekerja dengan memindahkan login ke server yang dikendalikan penyerang, dan kode sekali pakai yang benar yang diketik di sana hanya diteruskan ke layanan sebenarnya secara real time.

Itulah sebabnya pilihan metode mengubah hasil lebih banyak daripada susunan kata permintaan. Kode yang diketik seseorang dapat diteruskan oleh siapa pun yang dapat menampilkan halaman yang meyakinkan, sedangkan metode kriptografis yang mengikat autentikasi ke asal dan sesi tertentu menolak penerusan itu sejak desainnya. Mana yang Anda miliki adalah sifat metodenya, bukan jumlah langkah dalam dialog.

Ikuti pendaftaran dan alur klien yang didukung vendor alih-alih memasang permintaan tambahan pada bidang kata sandi. Langkah kedua buatan sendiri biasanya mendarat di suatu tempat di antaranya, menambah gesekan tanpa ikatan yang memberi makna pada faktor tersebut.

Pemulihan adalah pintu depan kedua

Setiap login yang kuat memiliki jalan kembali saat autentikator hilang, dan jalur itulah yang biasanya menjadi titik terlemah dalam desain. Jika agen dukungan dapat mengatur ulang faktor kedua setelah panggilan ke nomor yang tercatat, rute termurah bagi penyerang adalah meja bantuan, bukan halaman login.

Tanyakan bagaimana penggantian bekerja, siapa yang menyetujuinya, dan bukti apa yang diminta. Lalu periksa apakah materi pemulihan seperti kode cadangan disimpan terpisah dari kredensial utama, sehingga satu kompromi tidak menyerahkan keduanya. Panduan NIST tentang identitas digital memperlakukan pengikatan verifikator dan siklus hidup autentikator sebagai bagian dari persyaratan, bukan renungan operasional belakangan.

Apa yang ditulis dalam penilaian

Jelaskan faktor berdasarkan jenisnya, sebutkan apa yang dibuktikan masing-masing, dan nyatakan bagaimana ia terikat pada akun. Catat apakah metode menolak penerusan, dan jelaskan jalur pemulihan dengan kecermatan yang sama seperti login.

Lalu katakan terus terang apakah penerapan itu multifaktor menurut definisi tersebut. „Dua kata sandi dan satu sertifikat mesin“ adalah kalimat jujur, dan itu memberi tahu pembaca jauh lebih banyak daripada kotak centang yang berkata ya.