ნამდვილად მეორე ფაქტორია TOTP იმავე ლეპტოპზე?
VPN-ის ლეპტოპზე მყოფი კოდის გენერატორი საკუთრების ფაქტორია, რომელიც იმავე კომპრომეტაციის საზღვარშია. ჯერ თესლსა და სესიას მიჰყევით.
შედით VPN კლიენტში, რომელიც ჯერ პაროლს, შემდეგ კი ექვსნიშნა კოდს ითხოვს, და ორი მოთხოვნა ორ დამოუკიდებელ ბარიერად გვეჩვენება. ფაქტორის ტიპის მიხედვით დათვლისას ასეცაა: პაროლი ის არის, რაც იცით, კოდი კი ის, რაც გაქვთ. იმის მიხედვით დათვლისას, რასაც ერთი კომპრომეტირებული ლეპტოპი ამხელს, ისინი ერთ საზღვრად შეიძლება ჩაიშალოს, რადგან ის, რაც გაქვთ, ფაილია იმ მანქანაზე, რომელშიც აკრიფებთ. ამ ორ დათვლას შორის სხვაობა ამ მიმოხილვის თემაა.
მიჰყევით ერთ შესვლას პაროლის ველიდან კოდის ველამდე
დააკვირდით თანმიმდევრობას და არა ეტიკეტებს. კლიენტი აგზავნის პაროლს, სერვერი პასუხობს, რომ მეორე მტკიცებულებაა საჭირო, და კლიენტი ხსნის ველს ექვსი ან რვა ციფრისთვის. ამ ველის უკან გენერატორის აპლიკაცია დგას, რომელსაც საერთო საიდუმლო და საათი აქვს. ის საიდუმლოსა და მიმდინარე დროის საფეხურიდან მნიშვნელობას ითვლის, ხოლო სერვერი იმავე მნიშვნელობას თავისი საიდუმლოს ასლიდან ხელახლა ითვლის.
ორივე მხარეს ერთი და იგივე გასაღების მასალა აქვს. სწორედ ეს სიმეტრია გამოტოვდებათ ხოლმე, როცა კოდს საიდუმლოდ აღწერენ: მომწოდებელსაც შეუძლია თქვენი კოდების გენერირება, ამიტომ თესლი ნებისმიერ ერთეულ გამოსავალზე მეტად ღირებულია. გაჟონილი კოდი ერთჯერადი მნიშვნელობაა; თესლი, რომელმაც ის შექმნა, მუდმივი უფლებამოსილებაა, რომელიც სანამ არ შეიცვლება, ძალაში მყოფ მნიშვნელობებს აწარმოებს.
აქტივაცია ნაკადის მეორე ნახევარია. გენერატორი, რომელიც მოწყობილობის პინკოდით, ბიომეტრიული მოთხოვნით ან დაშიფრული კონტეინერით იხსნება, საკუთრების მტკიცებულებას და კიდევ რაღაცას წარმოადგენს. ის, რომელიც დაშიფვრის გარეშე მუშაობს და ოპერაციული სისტემის სესიით იხსნება, მხოლოდ ფაილს წარმოადგენს. იგივე აპლიკაცია ორივე წყობას შეიძლება გვთავაზობდეს იმის მიხედვით, როგორ ჩატარდა რეგისტრაცია, ამიტომ განლაგების გადაწყვეტილება იმ საფეხურშია და არა აპლიკაციის მარკეტინგულ გვერდზე.
გადაწყვიტეთ, რას ამტკიცებს კოდი სინამდვილეში
სტანდარტების ენა აქ უჩვეულოდ ნათელია და პირდაპირ წაკითხვად ღირს. NIST-ის აუტენტიფიკატორთა სახელმძღვანელო პროგრამულ OTP გენერატორებს აუტენტიფიკატორებად ჩამოთვლის, ერთფაქტორიან OTP-ს აქტივაციის ფაქტორის მქონე მრავალფაქტორიანისგან გამოყოფს და ამბობს, რომ OTP აუტენტიფიკაცია ფიშინგის მიმართ მდგრადი არ არის. ამ სამი დებულებიდან თითოეული ცვლის იმას, თუ რას შეიძლება ამტკიცებდეთ მოთხოვნაზე.
ფიშინგის მიმართ მდგრადი არყოფნა ყველაზე მკვეთრი კიდეა. ველში აკრეფილი კოდი შეიძლება სხვის ველში ჩაიწეროს რეალურ დროში, იმ ადამიანის მიერ, რომელიც ამისკენ დაიყოლეს. ფანჯარა მოკლეა, რაც სასარგებლო ცდების რაოდენობას ამცირებს, მაგრამ ტექნიკას არ ხურავს. თუ თქვენი მოთხოვნა მისი შეწინააღმდეგებას მოიცავს, OTP არასწორი პრიმიტივია, სადაც არ უნდა მუშაობდეს გენერატორი.
ერთფაქტორიანი მრავალფაქტორიანის წინააღმდეგ მეორე განსხვავებაა. კოდი, რომელიც აქტივაციის საფეხურის გარეშე ჩნდება, ფაილის საკუთრებას ამტკიცებს და მეტს არაფერს, ხოლო ფაილი ისეთივე ძლიერია, როგორც ანგარიში, რომელსაც მისი წაკითხვა შეუძლია. დაამატეთ აქტივაციის ფაქტორი და მტკიცება უმჯობესდება, თუმცა ის კვლავ შესვლისას წარმოდგენილ მტკიცებულებას აღწერს და არა მისი შემქმნელი მანქანის იზოლაციას.
ნახეთ, სადამდე შეიძლება მიაღწიოს კომპრომეტირებულმა ლეპტოპმა
თავდამსხმელი, რომელსაც სამუშაო სადგურზე კოდის შესრულების წვდომა აქვს, არ შემოიფარგლება იმ ველის კითხვით, რომელშიც აკრიფებთ. წარმატებული შესვლის შემდეგ დამყარებული სესია ჩვეულებრივ ტოკენი ან ქუქია, და ტოკენი შეიძლება სხვა მანქანიდან გამოიყენოთ ყოველგვარი კოდის გარეშე. თუ ეს არის ის უნარი, რომლის წინააღმდეგაც იცავთ თავს, შესვლისას მეორე მოთხოვნის დამატება თავდასხმის ნაბიჯების რაოდენობას ცვლის და არა შედეგს.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
მესამე სვეტი წაიკითხეთ როგორც პატიოსანი. ზემოთ ყოველი წყობა რაღაცას ტოვებს სამუშაო სადგურის ნდობის საზღვარში, რადგან სესია სწორედ იქ გამოიყენება. იცვლება ის, მოგზაურობს თუ არა გრძელვადიანი საიდუმლო ამ საზღვართან ერთად თუ რჩება მის გარეთ, და მიბმულია თუ არა მტკიცებულება კონკრეტულ წარმომავლობასთან, რომ მსგავსმა გვერდმა ვერ შეძლოს მისი გადაცემა.
ორი უფრო მცირე დეტალი ერთსა და იმავე სურათს ეკუთვნის. კოდი ძალაში რჩება მიღების ფანჯრის განმავლობაში, ხშირად ოცდაათი წამი პლუს საათის გადახრის ტოლერანტობა, ამიტომ დაჭერილი მნიშვნელობა შეიძლება ამ ფანჯრის შიგნით ხელახლა გაშვდეს, თუ შემმოწმებელი ხელახალ გამოყენებაზე უარს არ იტყვის. და ახალი გენერატორის დაყენება არ წყვეტს უკვე აუტენტიფიცირებულ სესიებს, ამიტომ ძველი სესია იმ უფლებამოსილების ცვლილებას გადააჭარბებს, რომელსაც ინციდენტი უნდა შეეზღუდა.
გადაიტანეთ გენერატორი მხოლოდ იქ, სადაც განცალკევება ეხმარება
კოდის გენერატორის ტელეფონზე განთავსება რეალური გაუმჯობესებაა ერთი კონკრეტული ჩავარდნისთვის: მოპარული ლეპტოპი უკვე ორივე მტკიცებულებას არ ატარებს. ის არაფერს აკეთებს ლეპტოპზე სესიის მიტაცების წინააღმდეგ, არაფერს აკეთებს ფიშინგის გვერდზე კოდის შემყვანი მომხმარებლისთვის და არაფერს აკეთებს იმ აღდგენის კოდებისთვის, რომლებიც ერთხელ დაიბეჭდა და შენიშვნების აპლიკაციაში გადაიღეს.
ამიტომ ჩაწერეთ მოთხოვნა ხელსაწყოს არჩევამდე. თუ მიზანი გაჟონილი პაროლის წინააღმდეგ დამატებითი მტკიცებულებაა, პირდაპირ თქვით ეს, და იმავე მოწყობილობის აპლიკაცია მას უკვე იძლევა. თუ მიზანი VPN სამუშაო სადგურის კომპრომეტაციისადმი გამძლეობაა, დაასახელეთ თავდამსხმელის ეს უნარი და შეარჩიეთ მისთვის შეფასებული წყობა, ფიშინგის მოთხოვნა კი ცალკე ჩამოაყალიბეთ და არა ნავარაუდევად.
შემდეგ გაუმკლავდით ოპერაციულ ნახევარს, რომელიც წყვეტს, გადაურჩება თუ არა რომელიმე ამას ინციდენტთან შეხვედრას. მოწყობილობის დაკარგვას დოკუმენტირებული ჩანაცვლების გზა სჭირდება, უფლებამოსილების როტაციას აქტიური სესიების გაუქმება სჭირდება, ხოლო რეგისტრაციის მასალას იმავე დაცვა სჭირდება, რაც თესლს, რადგან დაუცველი რეგისტრაციის ასლი თავდამსხმელს იმავე მომავალ კოდებს უფრო მოკლე გზით აძლევს. ამ ოთხი პუნქტის ჩამოთვლა უფრო სასარგებლოა, ვიდრე კამათი იმაზე, კარგია თუ უსარგებლო იმავე მოწყობილობის ტოკენები.