Tvær lykilorðsbeiðnir eru ekki MFA: hvað VPN-innskráning staðfestir

Innskráningarsíðan biður um lykilorð og síðan annað leyndarmál, og uppsetningin er þegar lýst sem margþættri. Stundum er hún það. Oft er þetta einn þáttur sem safnað er tvisvar, því bæði gildin eru þekking sem sami einstaklingurinn skrifaði úr sama minni eða sama minnisblaði. Sterk göngudulritun breytir því ekki, og orðið „öruggt“ í vörunafninu ekki heldur.

Að aðskilja fullyrðinguna frá fyrirkomulaginu krefst einnar spurningar: hvað sannar hvert skref, og fyrir hverjum?

Þáttur er sönnun, ekki svæði

Margþætt auðkenning þýðir að fleiri en ein ólík tegund sönnunar er staðfest fyrir sama reikning: eitthvað sem notandinn veit, eitthvað sem hann hefur, eitthvað sem hann er. Tvö svæði sem bæði safna minntum streng eru ein tegund sönnunar sem beðið er um tvisvar. Það getur verið gagnleg stjórnun, því erfiðara er að giska á tvö óháð leyndarmál en eitt, en það er ekki það sem hugtakið lýsir og ætti ekki að teljast sem slíkt í áhættumati.

Staðfestingarhliðin skiptir jafn miklu máli og söfnunarhliðin. Kóði sem er búinn til á tæki sannar stjórn á því tæki aðeins ef þjónninn ber hann saman við leyndarmál sem er bundið þessum reikningi og hafnar endurtekningum. Sameiginlegur kóði sem virkar fyrir alla, kóði án takmörkunar eða beiðni sem er samþykkt á tæki sem sýnir aldrei hvað er verið að samþykkja eru öll veikari en merkið gefur til kynna.

Þegar einhver spyr hvort VPN-ið hafi MFA, spurðu hvað annað skrefið sannar og hvernig þjónninn bindur það. Ef svarið er „annað lykilorð úr sama skráasafni“, hefur þú einn þátt og stefnuviðtal, ekki annan þátt.

Skírteinismálið þarf að lesa, ekki gera ráð fyrir

Biðlara-skírteini ásamt lykilorði lítur út eins og tveir þættir, og getur verið það: skírteinið er geymt í hólfi eða á tákn, og lykilorðið er munað. Það getur líka verið einn, ef skírteinisskráin liggur óvarið í sama notandaslóð og vistaða lykilorðið, eða ef skírteinið var gefið út fyrir tæki sem nokkrir deila án einstaklingsábyrgðar.

Spurningin sem þarf að leysa er hvern eða hvað skírteinið auðkennir. Tækisskírteini sannar að stýrð vél sé til staðar. Notandaskírteini sannar auðkenni. Ef uppsetningin gefur út eitt skírteini fyrir hverja fartölvu og meðhöndlar svo viðveru þess sem sönnun fyrir einstaklingnum, hefur annar þátturinn hljóðlega orðið eiginleiki vélbúnaðar sem hver sá er sem heldur fartölvunni erfur.

Ekkert af þessu gerir skírteini að slæmri hugmynd. Það gerir greinarmuninn á tryggingu tækis og tryggingu notanda þess virði að skrifa niður, því þau svara ólíkum spurningum og samræmingartafla sem telur þau sem eitt mun ofmeta hvað er varið.

Traust á gátt og traust á notanda eru aðskilin vandamál

Annar þáttur gerir það ekki öruggt að slá inn auðkenni í endapunkt sem þú hefur ekki staðfest. Biðlarinn verður að þekkja fyrirhuguðu gáttina, og það er til þess sem þjónsskírteinið og trauststilling biðlarans eru. Vefveiðar virka með því að færa innskráninguna á þjón sem árásarmaðurinn stjórnar, og réttur einnota kóði sem sleginn er inn þar er einfaldlega sendur áfram til raunverulegu þjónustunnar í rauntíma.

Þess vegna breytir val á aðferð niðurstöðunni meira en orðalag beiðninnar. Kóða sem einstaklingur slær inn getur hver sem er sent áfram sem getur sýnt sannfærandi síðu, en dulritunaraðferðir sem binda auðkenninguna við tiltekið upprun og lotu standast þá framsendingu að hönnun. Hvor þeirra er til staðar er eiginleiki aðferðarinnar, ekki fjöldi skrefa í glugganum.

Fylgdu studdri skráningu og biðlaraferli seljandans í stað þess að skrúfa auka beiðni á lykilorðssvæði. Heimatilbúið annað skref lendir venjulega einhvers staðar á milli og bætir við núningi án bindingarinnar sem gerir þáttinn merkingarbæran.

Endurheimt er önnur framdyrin

Sérhver sterk innskráning hefur leið til baka þegar auðkenningartækið glatast, og það er sú leið þar sem hönnunin er venjulega veikust. Ef stuðningsfulltrúi getur endurstillt annan þáttinn eftir símtal í skráð númer, er ódýrasta leið árásarmannsins hjálparborðið, ekki innskráningarsíðan.

Spurðu hvernig skipting virkar, hver samþykkir hana og hvaða sönnunargögn eru krafist. Athugaðu svo að endurheimtuefni eins og varakóðar sé geymt aðskilið frá aðalauðkenninu, svo ein málamiðlun afhendi ekki bæði. Leiðbeiningar NIST um stafræna auðkenningu meðhöndla bindingu sannandans og lífsferil auðkenningartækis sem hluta kröfunnar, ekki rekstrarlegt eftiráhugsun.

Hvað á að skrifa í matið

Lýstu þáttunum eftir tegund, nefndu hvað hver sannar og tilgreindu hvernig hann er bundinn reikningnum. Taktu fram hvort aðferðin standist framsendingu og lýstu endurheimtarleiðinni af sömu natni og innskráningunni.

Segðu svo skýrt hvort uppsetningin sé margþætt samkvæmt þeirri skilgreiningu. „Tvö lykilorð og vélarskírteini“ er heiðarleg setning og segir lesanda miklu meira en gátreitur sem segir já.