MFA-beiðni VPN hafnað: hvað á biðillinn að gera

Hafnað MFA-beiðni lítur út eins og netvandamál og er það ekki. Þjónninn bað um annan þátt, þátturinn kom neikvæður til baka eða kom aldrei, og lotunni var hafnað áður en nokkur göng voru til. Það sem gerist næst er spurning um hegðun biðilsins: að sýna bilunina og leyfa notandanum að byrja hreina tilraun, eða endurtaka á þann hátt sem býr til fleiri beiðnir og grípur að lokum inn í reikningsvernd. Seinni leiðin er hvernig einn rangt sleginn kóði verður læstur reikningur.

Athugaðu hvaða beiðni mistókst

Byrjaðu á að greina hvaða beiðni mistókst. Push-tilkynning, TOTP-kóði, FIDO-sönnun og SAML-ferli mistakast hvert á sinn hátt, og biðillinn veit yfirleitt hvers hann bað um. Höfnun, útrunnin áskorun og afhendingarbilun sem náði aldrei til tækisins enda öll í sömu almennu villunni, svo staða biðilsins sjálfs er oft eini staðurinn þar sem munurinn lifir af.

Það er þess virði að skrá þessa stöðu nákvæmlega. Skráðu auðkenni áskorunarinnar eða viðskiptaviðmiðun, tegund þáttar, tímastimpli og niðurstöðu, en aldrei kóðann eða sönnunina. Auðkenni áskorunarinnar er það sem gerir stjórnanda kleift að finna atburðinn hjá auðkennisveitandanum; án þess hefst stuðningssamtalið með „einhvern tíma á síðasta klukkutíma“ og endar yfirleitt þar. Meðhöndlaðu það sem greiningargögn, ekki sem leyndarmál.

Reyndu aftur einu sinni, viljandi, með nýrri áskorun

Endurtaka ætti að vera ný tilraun með nýrri áskorun, ekki endursköpun þeirrar gömlu. Þegar biðillinn endurnýtir fyrri áskorunina hafnar auðkennisveitandinn henni sem úreltri eða, það verra, samþykkir samþykki sem var ætlað fyrri tilrauninni. Biddu um nýja áskorun, sýndu hana og leyfðu notandanum að bregðast við þeirri sem er á skjánum núna.

Tvær tilraunir með stuttu hléi á milli eru sanngjarnt sjálfgefið gildi; ótakmörkuð lykkja er það ekki. Ef önnur tilraunin mistekst á sama hátt skaltu stöðva og tilkynna í stað þess að halda áfram.

Hvað biðillinn má ekki gera

Biðillinn má ekki gera nokkra hluti sem líta út fyrir að vera hjálpsamir og eru það ekki. Hann má ekki halda áfram að senda push-tilkynningar þar til einhver ýtir á „samþykkja“, því það venur notendur á að samþykkja beiðnir sem þeir hófu ekki, og það er einmitt hegðunin sem phishing-settin reiða sig á. Hann má ekki falla aftur í veikari þátt vegna þess að sá sterki brást, og hann má ekki slökkva á auðkennisprófun þjónsins til að komast fram hjá skírteiniskvörtun sem birtist á sama tíma. Hver þessara þriggja styttileiða breytir auðkenningarbilun í öryggisatvik.

Hann má ekki heldur gleypa bilunina í kyrrþey. Biðill sem lokar tengingunni og sýnir snúningsmerki skilur notandann eftir án hugmyndar um hvort eigi að reyna aftur, bíða eða hringja í stuðning. Sýndu bilunina með tegund þáttar og stuttum kóða, haltu skilaboðunum lausum við leyndarmál og gerðu endurtökuaðgerðina skýra í stað sjálfvirkrar.

Ef beiðnin var ekki hafin af manneskjunni við lyklaborðið er rétta aðgerðin að láta hana standa hafnað og tilkynna hana um staðfesta stuðningsleið. Að samþykkja beiðni til að stöðva hávaðann er bilunarmynstrið, ekki lausnin.

Hvað á að skrá fyrir stuðninginn

Fyrir stuðninginn er gagnleg skráning lítil. Áætlaður tími með tímabelti, reikningurinn, biðillinn og útgáfan, tegund þáttar og ekki-leynd staða hverrar tilraunar: beðið um, hafnað, útrunnið, samþykkt en hafnað af stefnu.

Hafðu einnig klukkur biðils og þjóns í huga. TOTP er prófun tímaglugga, svo tæki með skekkta klukku framleiðir kóða sem líta út fyrir að vera gildir og mistakast í hvert sinn, og biðill sem tilkynnir ógildan kóða án þess að nefna skekkjuna sendir fólk til að endurstilla skilríki sem voru aldrei röng. Notandi sem mistekst að skrá sig inn aftur og aftur ætti að athuga studda útgáfu biðilsins, skráningarstöðu og skjalfest flæði endurheimtar áður en hann býr til fleiri beiðnir.

Endurheimtarleiðin á skilið sömu umhyggju og innskráningarleiðin. Vinnuflæði fyrir týnt tæki er til einmitt svo að höfnun verði ekki leyfi til að fara fram hjá auðkenningu, og biðill ætti að tengja við skjalfest ferli stofnunarinnar í stað þess að búa eitt til sjálfur.

Reglan sem á að byggja á er að höfnun er niðurstaða, ekki hindrun. Tilkynntu hana einu sinni, skýrt, með nægu samhengi til að bregðast við, og láttu næstu tilraun vera nýja. Leiðbeiningar CISA um MFA sem stendur gegn phishing útskýra hvers vegna mynstrið „spyrja þar til samþykkt“ er hættulegt frá upphafi, og það er tilvísunin sem vert er að vitna í þegar einhver stingur upp á endurtekningarlykkju. Allt sem biðillinn bætir við eftir höfnun ætti að gera næstu ákvörðun auðveldari fyrir manneskju, ekki taka ákvörðunina frá henni.