VPN-ის MFA მოთხოვნა უარყოფილია: რა უნდა გააკეთოს კლიენტმა

უარყოფილი MFA მოთხოვნა ქსელის პრობლემას ჰგავს და არ არის. სერვერმა მეორე ფაქტორი მოითხოვა, ფაქტორი უარყოფითად დაბრუნდა ან საერთოდ არ მოვიდა, და სესია უარყოფილ იქნა მანამ, სანამ რაიმე გვირაბი არსებობდა. რაც შემდეგ ხდება, კლიენტის ქცევის საკითხია: გამოავლინოს წარუმატებლობა და მისცეს მომხმარებელს სუფთა ცდის დაწყების საშუალება, ან გაიმეოროს ისე, რომ მეტი მოთხოვნა შეიქმნას და საბოლოოდ ანგარიშის დაცვა ჩაირთოს. მეორე გზაა, როგორ იქცევა ერთი არასწორად აკრეფილი კოდი ჩაკეტილ ანგარიშად.

შეამოწმეთ რომელი მოთხოვნა ჩავარდა

დაიწყეთ იმის დადგენით, რომელი მოთხოვნა ჩავარდა. Push შეტყობინება, TOTP კოდი, FIDO დებულება და SAML ნაკადი თითოეული სხვადასხვაგვარად ჩავარდება და კლიენტმა ჩვეულებრივ იცის, რომელი მოითხოვა. უარი, ვადაგასული გამოწვევა და მიწოდების შეცდომა, რომელიც მოწყობილობამდე ვერასდროს მიაღწია, ყველა ერთსა და იმავე ზოგად შეცდომაში მთავრდება, ამიტომ განსხვავება ხშირად მხოლოდ თავად კლიენტის მდგომარეობაში რჩება.

ღირს ამ მდგომარეობის ზუსტად ჩაწერა. ჩაწერეთ გამოწვევის იდენტიფიკატორი ან ტრანზაქციის მითითება, ფაქტორის ტიპი, დროის ნიშანი და შედეგი, მაგრამ არასოდეს კოდი ან დებულება. გამოწვევის იდენტიფიკატორი სწორედ ის არის, რაც ადმინისტრატორს საშუალებას აძლევს მოვლენა იდენტობის მომწოდებლის მხარეს მოძებნოს; მის გარეშე მხარდაჭერის საუბარი იწყება სიტყვებით „სადღაც ბოლო საათში“ და ჩვეულებრივ იქვე მთავრდება. მოეპყარით როგორც დიაგნოსტიკურ მეტამონაცემებს და არა საიდუმლოს.

გაიმეორეთ ერთხელ, განზრახ, ახალი გამოწვევით

განმეორება უნდა იყოს ახალი ცდა ახალი გამოწვევით და არა ძველის ხელახალი დაკვრა. როცა კლიენტი წინა გამოწვევას ხელახლა იყენებს, იდენტობის მომწოდებელი ან უარყოფს მას როგორც მოძველებულს, ან, რაც უარესია, იღებს დამტკიცებას, რომელიც ადრინდელი ცდისთვის იყო განკუთვნილი. მოითხოვეთ ახალი გამოწვევა, აჩვენეთ იგი და მისცეს მომხმარებელს იმაზე მოქმედების საშუალება, რაც ახლა ეკრანზეა.

ორი ცდა მათ შორის მოკლე პაუზით გონივრული ნაგულისხმევია; უსასრულო ციკლი არა. თუ მეორე ცდა იმავე გზით ჩავარდა, გაჩერდით და მოახსენეთ, ნაცვლად გაგრძელებისა.

რა არ უნდა გააკეთოს კლიენტმა

კლიენტმა არ უნდა გააკეთოს რამდენიმე რამ, რაც სასარგებლოდ გამოიყურება და ასე არ არის. მან არ უნდა გააგრძელოს push შეტყობინებების გაგზავნა, სანამ ვინმე „დამტკიცებას“ დააჭერს, რადგან ეს ასწავლის მომხმარებლებს იმ მოთხოვნების დამტკიცებას, რომლებიც მათ არ დაუწყიათ, და ეს სწორედ ის ქცევაა, რომელსაც ფიშინგის ნაკრებები ეყრდნობიან. მან არ უნდა დაუბრუნდეს სუსტ ფაქტორს, რადგან ძლიერი ჩავარდა, და არ უნდა გამორთოს სერვერის იდენტობის შემოწმება, რათა გვერდი აუაროს იმავე დროს გამოჩენილ სერტიფიკატის პრეტენზიას. ამ სამი მოკლე გზიდან თითოეული ავთენტიფიკაციის წარუმატებლობას უსაფრთხოების ინციდენტად აქცევს.

მან ასევე არ უნდა ჩაყლაპოს წარუმატებლობა ჩუმად. კლიენტი, რომელიც კავშირს ხურავს და მბრუნავ ინდიკატორს აჩვენებს, მომხმარებელს უტოვებს ყოველგვარი წარმოდგენის გარეშე, გაიმეოროს, დაელოდოს თუ დაურეკოს მხარდაჭერას. აჩვენეთ წარუმატებლობა ფაქტორის ტიპითა და მოკლე კოდით, შეინახეთ შეტყობინება საიდუმლოებისგან თავისუფალი და გახადეთ განმეორების მოქმედება გამოკვეთილი და არა ავტომატური.

თუ მოთხოვნა კლავიატურის წინ მყოფმა პირმა არ დაიწყო, სწორი მოქმედებაა ის უარყოფილად დატოვოთ და შეატყობინოთ დადასტურებული მხარდაჭერის გზით. ხმაურის შესაჩერებლად მოთხოვნის დამტკიცება წარუმატებლობის ნიმუშია და არა გადაწყვეტა.

რა ჩავწეროთ მხარდაჭერისთვის

მხარდაჭერისთვის სასარგებლო ჩანაწერი მცირეა. სავარაუდო დრო დროის სარტყელთან, ანგარიში, კლიენტი და ვერსია, ფაქტორის ტიპი და თითოეული ცდის არასაიდუმლო სტატუსი: მოთხოვნილია, უარყოფილია, ვადა გავიდა, დამტკიცდა, მაგრამ პოლიტიკამ უარყო.

თვალყური ადევნეთ კლიენტისა და სერვერის საათებსაც. TOTP დროის ფანჯრის შემოწმებაა, ამიტომ გაძვრილი საათის მოწყობილობა აწარმოებს ნამდვილად მოჩვენებით კოდებს, რომლებიც ყოველ ჯერზე ჩავარდება, და კლიენტი, რომელიც იტყობინება არასწორ კოდზე გაძვრის ხსენების გარეშე, აგზავნის ადამიანებს განაახლონ ის რწმუნებულები, რომლებიც არასოდეს ყოფილა არასწორი. მომხმარებელმა, რომლის შესვლაც განმეორებით ჩავარდება, უნდა შეამოწმოს კლიენტის მხარდაჭერილი ვერსია, რეგისტრაციის მდგომარეობა და დოკუმენტირებული აღდგენის ნაკადი, სანამ მეტ მოთხოვნას შექმნის.

აღდგენის გზა იმავე ზრუნვას იმსახურებს, როგორც შესვლის გზა. დაკარგული მოწყობილობის სამუშაო ნაკადი სწორედ იმისთვის არსებობს, რომ უარი ავთენტიფიკაციის გვერდის ავლის ნებართვად არ იქცეს, და კლიენტმა უნდა მიუთითოს ორგანიზაციის დოკუმენტირებულ პროცესზე და არა საკუთარი გამოიგონოს.

წესი, რომლის მიხედვითაც უნდა ავაშენოთ: უარი შედეგია და არა დაბრკოლება. მოახსენეთ ერთხელ, ნათლად, მოქმედებისთვის საკმარისი კონტექსტით, და მისცეს შემდეგ ცდას ახალი იყოს. CISA-ს მითითებები ფიშინგის მიმართ მდგრადი MFA-ის შესახებ ხსნის, რატომ არის „იკითხე სანამ დამტკიცდება“ ნიმუში თავიდანვე საშიში, და სწორედ ეს არის ის წყარო, რომლის ციტირებაც ღირს, როცა ვინმე განმეორებითი ცდების ციკლს გვთავაზობს. ყველაფერი, რასაც კლიენტი უარის შემდეგ ამატებს, შემდეგი გადაწყვეტილება ადამიანისთვის უფრო მარტივი უნდა გახადოს და არა წაართვას მას გადაწყვეტილება.