ავთენტიფიკატორის არასწორი ხატულა? რატომ არაფერს ამტკიცებს ლოგო
დაკარგული ლოგო არაფერს ამბობს იმაზე, ვისაც თქვენი მეორე ფაქტორი აქვს. გადაამოწმეთ რეგისტრაცია ანგარიშის მეშვეობით და არასდროს ატვირთოთ QR კოდი სურათის გასწორებისთვის.
ნაცრისფერი კვადრატები იქ, სადაც ბრენდის ლოგო უნდა იყოს, შემაშფოთებლად გამოიყურება, თუმცა სწორედ ისინია არასწორი რამ, რაზეც უნდა ვიმოქმედოთ. სურათი, რომელსაც ავთენტიფიკატორი ხატავს, არის ჩვენების დეტალი, რომელიც ჩანაწერის ეტიკეტებიდან მომდინარეობს, ხოლო უსაფრთხოების კითხვა ის არის, ეკუთვნის თუ არა ამ ჩანაწერის შიგნით არსებული საიდუმლო თქვენს ანგარიშს. სწორედ ამ ორის გამიჯვნა განასხვავებს კოსმეტიკურ შეკეთებას სერთიფიკატების ინციდენტისგან. ის ასევე აჩერებს იმ შეკეთებას, რომელიც ვითარებას აუარესებს.
ხატულა და საიდუმლო სხვადასხვა კითხვას პასუხობს
ავთენტიფიკატორის ჩანაწერი იქმნება გასაღების URI-დან, რომელიც ატარებს საერთო საიდუმლოს ანგარიშის ეტიკეტთან და გამომცემლის სახელთან ერთად. აპლიკაცია ხატავს ლოგოს იმ გამომცემლისგან, რომელსაც იცნობს, ხოლო უცნობი ან შეცვლილი გამომცემელი უბრალოდ ზოგად სურათს გამოიმუშავებს. ამ ჩვენებაში არაფერი გეუბნებათ, ვისაც კიდევ აქვს საიდუმლოს ასლი, და სწორ ლოგოშიც არაფერი გეუბნებათ, რომ ჩანაწერი მხოლოდ თქვენია. წაიკითხეთ ჩვენება როგორც მინიშნება ეტიკეტის შესახებ, და არა როგორც განცხადება შენახვაზე.
საპირისპიროც მართალია და ეს უფრო საშიში მიმართულებაა. დამაჯერებელი ლოგო კიდევ ნაკლებს ამტკიცებს, ვიდრე დაკარგული.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
არასდროს გაიაროთ ხელახალი რეგისტრაცია სურათის გასწორებისთვის
ინტერნეტში მოძრავი შეკეთება QR კოდის ხელახლა გენერირებაა, რაც ნიშნავს საიდუმლოს ექსპორტს და სხვა ხელსაწყოში გატარებას. ეს ჩვენების პრობლემას ამჟღავნებად აქცევს, რადგან ექსპორტი შეიცავს ზუსტად იმ მასალას, რომელიც თავდამსხმელს სჭირდება სწორი კოდების შესაქმნელად. მისი ვებ-გენერატორზე ატვირთვა მეორე ფაქტორს მესამე მხარეს გადასცემს ლამაზი ხატულის სანაცვლოდ.
თუ ანგარიში ჯერ კიდევ ამოწმებს კოდებს, რეგისტრაცია ხელუხლებელია და ჩვენება კოსმეტიკურია. გაეცანით თავად ავთენტიფიკატორის დოკუმენტაციას გამომცემლის ეტიკეტებისა და ხატულების ძიების შესახებ და მიატოვეთ ჩანაწერი. ეტიკეტის რედაქტირება ლოგოს დასაძალადებლად არის ცვლილება ჩანაწერში იმ მიზეზით, რომელსაც არაფერი აქვს საერთო ავთენტიფიკაციასთან.
შეინახეთ ორიგინალური QR სურათი, ნედლი გასაღების URI და ნებისმიერი ხელით შეყვანილი საიდუმლო ბილეთების, ჩატის ნაკადების, ეკრანის სურათებისა და საჯარო პრობლემების ტრეკერების გარეთ. კონფიგურაციის გვერდის ეკრანის სურათი ხშირად უფრო მეტს შეიცავს, ვიდრე გადამღები გულისხმობდა.
როცა საიდუმლო ნამდვილად გამჟღავნდა
მოეკიდეთ გამჟღავნებას როგორც ცალკე ინციდენტს, საკუთარი რეაგირებით. გამოიყენეთ სერვისის მხარდაჭერილი ჩანაცვლების პროცესი ახალი ავთენტიფიკატორის დასარეგისტრირებლად, დაადასტურეთ, რომ ახალი ჩანაწერი მისაღებ კოდებს გამოიმუშავებს, და გააუქმეთ ძველი რეგისტრაცია სერვერზე. ჩანაწერის ლოკალურად წაშლა არ აშორებს რეგისტრაციას სერვერის მხარეს, ამიტომ გამჟღავნებული საიდუმლო შეიძლება განაგრძოს მუშაობა, სანამ სერვისს სხვაგვარად არ შეატყობინებენ. სწორედ ლოკალურ წაშლასა და სერვერის მდგომარეობას შორის ამ ნაპრალშია რისკის უმეტესი ნაწილი.
რიგითობას აქ მნიშვნელობა აქვს. ჯერ ჩაანაცვლეთ და დაარეგისტრირეთ, გადაამოწმეთ, და მხოლოდ ამის შემდეგ მოხსენით ძველი, რადგან სერვისების უმეტესობა ჩაგკეტავთ, თუ ბოლო ფაქტორი გაქრება. აღდგენის კოდებიც ამ თანმიმდევრობაშია, რადგან ისინი არიან სარეზერვო გზა, როცა ტელეფონი მიუწვდომელია.
შეამოწმეთ, გამოიყენებოდა თუ არა იგივე საიდუმლო სხვაგან. გენერატორში ჩასმული გასაღების URI თქვენი კონტროლიდან გავიდა, და მის უკან მდგარი ანგარიში უნდა ჩაითვალოს გაზიარებულად, სანამ რეგისტრაცია შეიცვლება.
მხარდაჭერის მოთხოვნებმა უნდა აღწერონ ვიზუალური პრობლემა კოდებისა და კონფიგურაციის მასალის გარეშე. ანგარიშთან დაკავშირებული ყველაფერი მიმწოდებლის დადასტურებულ არხშია, და არა საჯარო ნაკადში.
წაშლამდე შეინახეთ აღდგენის გზა
ნებისმიერი მოქმედი ჩანაწერის მოხსნამდე დაადასტურეთ, რომ არსებობს დამტკიცებული აღდგენის გზა და რომ შეგიძლიათ მისი გამოყენება. ჩაკეტვით დასრულებული კოსმეტიკური შეკეთება უარესი შედეგია, ვიდრე არასწორი ლოგო, და ჩაკეტვები ხშირია, როცა ერთადერთი რეგისტრირებული მოწყობილობა სწორედ რედაქტირებადია.
მიღების პირობა ვიწროა: დადასტურებული კავშირი ანგარიშსა და ავთენტიფიკატორს შორის, რეგისტრაციის მასალის კონფიდენციალურად შენახვით. ნაცნობი სამკერდე ნიშანი ამ პირობის ნაწილი არ არის და მისი არქონა კომპრომეტაციის მტკიცებულება არ არის.
გასაღების URI ფორმატი თავად დოკუმენტირებულია Google Authenticator-ის გასაღების URI სპეციფიკაციაში, რაც ასევე შეგახსენებთ, რომ დატვირთვა შეიცავს საიდუმლოს და არა ლოგოს. წაიკითხეთ ის, სანამ რაიმეს ექსპორტს გააკეთებთ ჩანაწერიდან, რომლის დაკარგვასაც ვერ დაუშვებთ.