Er TOTP á sama fartölvu virkilega annar þáttur?

Skráðu þig inn í VPN-biðlara sem biður fyrst um lykilorð og síðan sex stafa kóða, og tvær beiðnir líta út eins og tveir sjálfstæðir vegatálmar. Talinn eftir tegund þáttar eru þær það: lykilorðið er eitthvað sem þú veist, kóðinn er eitthvað sem þú átt. Talinn eftir því sem ein málamiðluð fartölva afhjúpar geta þær fallið saman í eitt mark, því það sem þú átt er skrá á vélinni sem þú slærð inn í. Bilið milli þessara tveggja talninga er viðfangsefni þessarar yfirferðar.

Fylgdu einni innskráningu frá lykilorðsreitnum að kóðareitnum

Fylgstu með röðinni, ekki merkingunum. Biðlarinn sendir lykilorðið, þjónninn svarar að önnur sönnun þurfi, og biðlarinn opnar reit fyrir sex eða átta tölustafi. Að baki þeim reit stendur framleiðsluforrit sem geymir sameiginlega leynd og klukku. Það reiknar gildi úr leyndinni og núverandi tímaskrefi, og þjónninn endurreiknar sama gildi úr sinni eigin eintöku af leyndinni.

Báðir aðilar halda sama lykilnúmeri. Þessi samhverfa er það sem fólk missir af þegar það lýsir kóðanum sem leynd: veitandinn getur líka framleitt kóðana þína, og þess vegna er fræið meira virði en hver einstök úttak. Kóði sem lekur er gildi sem gildir einu sinni; fræið sem framleiddi hann er varanlegt auðkenni sem heldur áfram að framleiða gild gildi þar til því er skipt út.

Virkjun er hinn helmingur flæðisins. Framleiðandi sem opnast með aðgangskóða tækisins, líffræðilegri beiðni eða dulkóðuðu gámi leggur fram sönnun um eignarhald auk einhvers annars. Sá sem keyrir ódulkóðaður og opnast með lotu stýrikerfisins leggur aðeins fram skrána. Sama forritið getur boðið báðar tilhögunir eftir því hvernig skráningin var gerð, svo dreifingarákvörðunin liggur í því skrefi, ekki á markaðssíðu forritsins.

Ákveðu hvað kóðinn sannar í raun

Tungumál staðlanna er hér óvenju skýrt og verðugt beins lesturs. Leiðbeiningar NIST um auðkenningartæki telja upp hugbúnaðar-OTP-framleiðendur sem auðkenningartæki, greina einþátta OTP frá fjölþátta OTP með virkjunarbætti, og segja að OTP-auðkenning standist ekki fiskveiðar. Hver þessara þriggja greina breytir því sem þú getur fullyrt um beiðnina.

Að standast ekki fiskveiðar er skarpsi jaðarinn. Kóði sem sleginn er inn í reit getur verið sleginn inn í reit einhvers annars, í rauntíma, af manneskju sem var sannfærð um að gera það. Glugginn er stuttur, sem fækkar gagnlegum tilraunum en lokar ekki tækninni. Ef krafan þín felur í sér að standast það er OTP rangt frumstærð, hvar sem framleiðandinn keyrir.

Einþátta gegn fjölþátta er önnur aðgreiningin. Kóði sem birtist án virkjunarskrefs sannar eignarhald á skrá og ekkert annað, og skráin er aðeins eins sterk og reikningurinn sem getur lesið hana. Bættu við virkjunarbætti og fullyrðingin batnar, þótt hún lýsi enn sönnuninni sem lögð er fram við innskráningu, ekki einangrun vélarinnar sem framleiðir hana.

Sjáðu hvers málamiðluð fartölva getur náð

Árásarmaður með kóðaframkvæmd á vinnustöðinni er ekki bundinn við að lesa reitinn sem þú slærð í. Lotan sem kemst á eftir árangursríkri innskráningu er venjulega tákn eða kaka, og táknið má nota frá annarri vél án nokkurs kóða. Ef það er hæfnið sem þú verndar gegn breytir önnur beiðni við innskráningu fjölda skrefa í árásinni, ekki niðurstöðunni.

Lestu þriðja dálkinn sem hinn heiðarlega. Sérhver tilhögun hér að ofan skilur eitthvað eftir innan traustmarka vinnustöðvarinnar, því þar er lotan notuð. Það sem breytist er hvort langlífi leyndin fer með þeim mörkum eða verður utan þeirra, og hvort sönnunin er bundin við tiltekið uppruna svo eftirlíkingarsíða geti ekki sent hana áfram.

Tveir smærri smáatriði tilheyra sömu mynd. Kóði helst gildur í móttökuglugga sínum, oft þrjátíu sekúndur auk umburðarlyndis gagnvart klukkuvillu, svo grípa má gildi og endurspila innan þess glugga nema sannprófandinn neiti endurnotkun. Og uppsetning nýs framleiðanda stöðvar ekki lotur sem þegar eru auðkenndar, svo gömul lota lifir lengur en auðkennisskiptin sem áttu að halda atvikinu í skefjum.

Færðu framleiðandann aðeins þangað sem aðskilnaður hjálpar

Að setja kóðaframleiðandann í síma er raunveruleg framför fyrir eitt tiltekið bilun: stolin fartölva ber ekki lengur báðar sannanirnar. Það gerir ekkert gegn loturáni á fartölvunni, ekkert fyrir notanda sem slær kóða inn á fiskveiðisíðu, og ekkert fyrir endurheimtukóðana sem voru prentaðir einu sinni og ljósmyndaðir í minnisblöð.

Skrifaðu því kröfuna áður en þú velur tólið. Ef markmiðið er viðbótarsönnun gegn leku lykilorði skaltu segja það beint, og forritið í sama tæki veitir hana þegar. Ef markmiðið er þolgæði gegn málamiðlun VPN-vinnustöðvarinnar skaltu nefna þá hæfni árásarmannsins og velja tilhögun sem er metin fyrir hana, með fiskveiðikröfunni sett fram sérstaklega í stað þess að gera ráð fyrir henni.

Sjáðu svo um rekstrarhelminginn, sem ræður því hvort eitthvað af þessu lifir snertingu við atvik. Tækjatap þarf skjalfesta skiptileið, snúningur auðkennis þarf að afturkalla virkar lotur, og skráningarefni þarf sömu vernd og fræið, því óvarið skráningareintak gefur árásarmanni sömu framtíðarkóðana á styttri leið. Að telja þessi fjögur atriði upp er gagnlegra en að deila um hvort tákn í sama tæki séu góð eða verðlaus.