ორი პაროლის მოთხოვნა — ეს არ არის MFA: რას ამოწმებს VPN-ში შესვლა

შესვლის გვერდი ითხოვს პაროლს, შემდეგ მეორე საიდუმლოს, და განლაგება მაშინვე აღიწერება როგორც მულტიფაქტორი. ზოგჯერ ასეც არის. ხშირად ეს ერთი ფაქტორია ორჯერ შეგროვებული, რადგან ორივე მნიშვნელობა ცოდნაა, რომელიც ერთმა ადამიანმა ერთი და იმავე მეხსიერებიდან ან ერთი და იმავე ჩანაწერიდან აკრიფა. ძლიერი გვირაბის დაშიფვრა ამას არ ცვლის, და პროდუქტის სახელში „უსაფრთხო“ სიტყვაც არ ცვლის.

მტკიცების მექანიზმისგან გასაყოფად ერთი კითხვა სჭირდება: რას ამტკიცებს ყოველი ნაბიჯი და ვის წინაშე?

ფაქტორი მტკიცებულებაა, არა ველი

მულტიფაქტორული ავთენტიფიკაცია ნიშნავს, რომ ერთი და იმავე ანგარიშისთვის მტკიცებულების ერთზე მეტი განსხვავებული სახე მოწმდება: ის, რაც მომხმარებელმა იცის, ის, რაც აქვს, და ის, რაც თავად არის. ორი ველი, რომლებიც ორივე დამახსოვრებულ სტრიქონს აგროვებს, მტკიცებულების ერთი სახეა, ორჯერ მოთხოვნილი. ეს შეიძლება სასარგებლო კონტროლი იყოს, რადგან ორი დამოუკიდებელი საიდუმლოს გამოცნობა ერთზე უფრო ძნელია, მაგრამ ეს არ არის ის, რასაც ტერმინი აღწერს და რისკის შეფასებაში ასე არ უნდა ჩაითვალოს.

შემოწმების მხარე ისეთივე მნიშვნელოვანია, როგორც შეგროვების მხარე. მოწყობილობაზე შექმნილი კოდი ამ მოწყობილობაზე კონტროლს მხოლოდ მაშინ ამტკიცებს, თუ სერვერი მას ამ ანგარიშზე მიბმულ საიდუმლოს ადარებს და გამეორებებს უარყოფს. საერთო კოდი, რომელიც ყველასთვის მუშაობს, ულიმიტო კოდი, ან მოწყობილობაზე დამტკიცებული მოთხოვნა, რომელიც არასდროს აჩვენებს, რა მტკიცდება — ყველა იმაზე სუსტია, ვიდრე იარლიყი მიანიშნებს.

ამიტომ როცა ვინმე კითხულობს, აქვს თუ არა VPN-ს MFA, ჰკითხეთ, რას ამტკიცებს მეორე ნაბიჯი და როგორ აკავშირებს მას სერვერი. თუ პასუხია „მეორე პაროლი იმავე კატალოგიდან“, თქვენ გაქვთ ერთი ფაქტორი და საუბარი პოლიტიკაზე, და არა მეორე ფაქტორი.

სერტიფიკატის შემთხვევა წაკითხვას მოითხოვს და არა ვარაუდს

კლიენტის სერტიფიკატი პლუს პაროლი ორ ფაქტორად გამოიყურება და შეიძლება ასეც იყოს: სერტიფიკატი ინახება საცავში ან ტოკენზე, ხოლო პაროლი მახსოვს. ის შეიძლება ერთი იყოს, თუ სერტიფიკატის ფაილი დაუცველად დევს იმავე პროფილის კატალოგში, სადაც შენახული პაროლია, ან თუ სერტიფიკატი გაცემულია მოწყობილობაზე, რომელსაც რამდენიმე ადამიანი ინდივიდუალური პასუხისმგებლობის გარეშე იზიარებს.

გადასაწყვეტი კითხვაა, ვის ან რას იდენტიფიცირებს სერტიფიკატი. მოწყობილობის სერტიფიკატი ამტკიცებს, რომ მართვადი მანქანა არის. მომხმარებლის სერტიფიკატი იდენტობას ამტკიცებს. თუ განლაგება თითოეულ ლეპტოპზე ერთ სერტიფიკატს გასცემს და შემდეგ მის არსებობას პიროვნების მტკიცებულებად თვლის, მეორე ფაქტორი ჩუმად გახდა აპარატურის თვისება, რომელსაც ლეპტოპის მფლობელი მემკვიდრეობით იღებს.

ამათგან არც ერთი სერტიფიკატებს ცუდ იდეად არ აქცევს. ეს მოწყობილობის გარანტიისა და მომხმარებლის გარანტიის გარჩევას ჩაწერის ღირსს ხდის, რადგან ორივე სხვადასხვა კითხვას პასუხობს და შესაბამისობის ცხრილი, რომელიც მათ ერთად ითვლის, რაც დაცულია იმას გადააჭარბებს.

ჭიშკრის მიმართ ნდობა და მომხმარებლის მიმართ ნდობა ცალკე პრობლემებია

მეორე ფაქტორი არ ხდის უსაფრთხოს სერთიფიკატების შეყვანას იმ ბოლო წერტილში, რომელიც არ შეგიმოწმებიათ. კლიენტმა უნდა იცნოს განზრახული ჭიშკარი, და ამისთვისაა სერვერის სერტიფიკატი და კლიენტის ნდობის კონფიგურაცია. ფიშინგი მუშაობს იმით, რომ შესვლას გადაიტანს სერვერზე, რომელსაც თავდამსხმელი აკონტროლებს, და იქ შეყვანილი სწორი ერთჯერადი კოდი უბრალოდ რეალურ დროში გადაეცემა ნამდვილ სერვისს.

ამიტომ მეთოდის არჩევანი შედეგს უფრო ცვლის, ვიდრე მოთხოვნის ფორმულირება. ადამიანის მიერ აკრეფილი კოდები ნებისმიერს შეუძლია გადასცეს, ვისაც დამაჯერებელი გვერდის ჩვენება შეუძლია, მაშინ როცა ავთენტიფიკაციას კონკრეტულ წარმომავლობასა და სესიაზე მამაგრი კრიპტოგრაფიული მეთოდები ამ გადაცემას მათივე აგებულებით უპირისპირდებიან. რომელი გაქვთ — მეთოდის თვისებაა და არა დიალოგში ნაბიჯების რაოდენობა.

მიჰყევით მომწოდებლის მხარდაჭერილ რეგისტრაციას და კლიენტის ნაკადს, ნაცვლად იმისა, რომ პაროლის ველს დამატებითი მოთხოვნა მოვუჭიმოთ. სახლში გაკეთებული მეორე ნაბიჯი ჩვეულებრივ სადღაც შუაში ჯდება, ხახუნს უმატებს ისე, რომ არ აქვს ის კავშირი, რომელიც ფაქტორს მნიშვნელობას აძლევს.

აღდგენა მეორე წინა კარია

ყოველ ძლიერ შესვლას აქვს დაბრუნების გზა, როცა ავთენტიფიკატორი იკარგება, და სწორედ ეს გზაა ჩვეულებრივ დიზაინის ყველაზე სუსტი ადგილი. თუ მხარდაჭერის აგენტს შეუძლია მეორე ფაქტორის განულება ჩაწერილ ნომერზე ზარის შემდეგ, თავდამსხმელისთვის ყველაზე იაფი მარშრუტი მხარდაჭერის მაგიდაა და არა შესვლის გვერდი.

ჰკითხეთ, როგორ მუშაობს შეცვლა, ვინ ამტკიცებს და რა მტკიცებულებებს ითხოვენ. შემდეგ შეამოწმეთ, რომ აღდგენის მასალა, მაგალითად სარეზერვო კოდები, ძირითადი სერთიფიკატისგან ცალკე ინახება, რათა ერთმა დარღვევამ ორივე არ ჩააბაროს. NIST-ის ციფრული იდენტობის სახელმძღვანელო ვერიფიკატორის მიბმას და ავთენტიფიკატორის სიცოცხლის ციკლს მოთხოვნის ნაწილად თვლის და არა ოპერაციულ გვიან აზრად.

რა უნდა დაიწეროს შეფასებაში

აღწერეთ ფაქტორები ტიპის მიხედვით, დაასახელეთ, რას ამტკიცებს თითოეული, და მიუთითეთ, როგორ არის ანგარიშზე მიბმული. აღნიშნეთ, უპირისპირდება თუ არა მეთოდი გადაცემას, და აღწერეთ აღდგენის გზა ისეთივე ზრუნვით, როგორც შესვლა.

შემდეგ ნათლად თქვით, არის თუ არა განლაგება მულტიფაქტორი ამ განსაზღვრებით. „ორი პაროლი და მანქანის სერტიფიკატი“ პატიოსანი წინადადებაა, და მკითხველს გაცილებით მეტს ეუბნება, ვიდრე „დიახ“-ის მთქმელი მოსანიშნი უჯრა.