Бір ноутбуктегі TOTP шынымен екінші фактор ма?
VPN ноутбугіндегі код генераторы сол бір бұзу шекарасының ішінде тұрған иелену факторы. Алдымен тұқым мен сессияны қадағалаңыз.
Алдымен құпия сөз, содан кейін алты таңбалы код сұрайтын VPN клиентіне кіріңіз, және екі сұрау екі тәуелсіз кедергідей көрінеді. Фактор түрі бойынша санасақ, солай: құпия сөз — өзіңіз білетін нәрсе, код — өзіңізде бар нәрсе. Бір бұзылған ноутбук нені әшкерелейтіні бойынша санасақ, олар бір шекараға құлауы мүмкін, өйткені сізде бар нәрсе — теріп жатқан машинаңыздағы файл. Осы екі санақтың арасындағы айырма — бұл шолудың тақырыбы.
Құпия сөз өрісінен код өрісіне дейін бір кіруді қадағалаңыз
Белгілерді емес, ретті қараңыз. Клиент құпия сөзді жібереді, сервер екінші дәлел керек деп жауап береді, клиент алты немесе сегіз цифрға өріс ашады. Сол өрістің артында ортақ құпия мен сағат ұстайтын генератор қолданбасы тұр. Ол құпия мен ағымдағы уақыт қадамынан мән есептейді, ал сервер сол мәнді құпияның өз көшірмесінен қайта есептейді.
Екі тарап та бірдей кілт материалын ұстайды. Осы симметрия — кодты құпия деп сипаттағанда адамдар жіберіп алатын бөлік: жеткізуші де сіздің кодтарыңызды жасай алады, сондықтан тұқым кез келген жалғыз шығыстан құндырақ. Ағып кеткен код — бір реттік мән; оны жасаған тұқым — ауыстырылғанша жарамды мәндер шығара беретін тұрақты тіркелгі дерегі.
Белсендіру — ағынның екінші жартысы. Құрылғының ПИН кодымен, биометриялық сұраумен немесе шифрланған контейнермен ашылатын генератор иелену дәлелін және тағы бір нәрсені ұсынады. Шифрлаусыз жұмыс істеп, операциялық жүйе сессиясымен ашылатын генератор тек файлды ұсынады. Сол қолданба тіркелудің қалай жүргізілгеніне қарай екі тәртіпті де ұсына алады, сондықтан орналастыру шешімі сол қадамда, қолданбаның маркетинг бетінде емес.
Код шынымен нені дәлелдейтінін шешіңіз
Стандарттардың тілі мұнда ерекше айқын, және оны тікелей оқыған жөн. NIST-тің аутентификаторлар жөніндегі нұсқаулығы бағдарламалық OTP генераторларын аутентификаторлар ретінде тізімдейді, белсендіру факторы бар көпфакторлы OTP-дан бірфакторлы OTP-ны ажыратады және OTP аутентификациясы фишингке қарсы тұрақты емес деп мәлімдейді. Осы үш ереженің әрқайсысы сұрау туралы нені мәлімдей алатыныңызды өзгертеді.
Фишингке төзімсіздік — ең өткір жиек. Өріске терілген код басқа адамның өрісіне нақты уақытта, оған көндірілген адам арқылы терілуі мүмкін. Терезе қысқа, бұл пайдалы әрекеттер санын азайтады, бірақ техниканы жабуды білдірмейді. Егер талабыңыз соған қарсы тұруды қамтыса, генератор қайда жүрсе де OTP дұрыс емес примитив.
Бірфакторлы көпфакторлыға қарсы — екінші айырмашылық. Белсендіру қадамынсыз пайда болатын код файлды иеленуді дәлелдейді және басқа ештеңе емес, ал файл оны оқи алатын тіркелгі қаншалықты мықты болса, соншалықты мықты. Белсендіру факторын қосыңыз, мәлімдеме жақсарады, бірақ ол әлі кіру кезінде ұсынылған дәлелді сипаттайды, оны шығаратын машинаның оқшаулануын емес.
Бұзылған ноутбук қайда жететінін қараңыз
Жұмыс станциясында код орындау мүмкіндігі бар шабуылдаушы сіз теріп жатқан өрісті оқумен шектелмейді. Сәтті кіруден кейін орнатылған сессия әдетте токен немесе cookie болып табылады, ал токенді басқа машинадан мүлде кодсыз пайдалануға болады. Егер бұл сіз қорғанып отырған қабілет болса, кіру кезінде екінші сұрау қосу шабуылдағы қадамдар санын өзгертеді, нәтижені емес.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Үшінші бағанды адал баған деп оқыңыз. Жоғарыдағы әрбір тәртіп жұмыс станциясының сенім шекарасының ішінде бірдеңе қалдырады, өйткені сессия дәл сонда пайдаланылады. Өзгеретіні — ұзақ мерзімді құпия сол шекарамен бірге жүре ме, әлде оның сыртында қала ма, және дәлел нақты шығу тегіне байланған ба, сондықтан ұқсас бет оны қайта жібере алмайды.
Тағы екі ұсақ деталь сол суретке жатады. Код өзінің қабылдау терезесі бойы жарамды болып қалады, көбіне отыз секундқа қоса сағат ауытқуына төзімділік, сондықтан ұсталған мәнді сол терезе ішінде қайта ойнатуға болады, егер тексеруші қайта пайдаланудан бас тартпаса. Ал жаңа генератор орнату әлдеқашан аутентификацияланған сессияларды тоқтатпайды, сондықтан ескірген сессия оқиғаны шектеуі тиіс тіркелгі дерегінің ауысуынан ұзақ өмір сүреді.
Генераторды тек бөлу көмектесетін жерге жылжытыңыз
Код генераторын телефонға қою бір нақты ақау үшін шынайы жақсарту: ұрланған ноутбук енді екі дәлелді де алып жүрмейді. Ол ноутбуктегі сессияны ұрлауға ештеңе істемейді, фишинг бетінде код теретін пайдаланушыға ештеңе істемейді, және бір рет басылып, жазба қолданбасына суретке түсірілген қалпына келтіру кодтарына да ештеңе істемейді.
Сондықтан құралды таңдамас бұрын талапты жазыңыз. Мақсат ағып кеткен құпия сөзге қарсы қосымша дәлел болса, оны ашық айтыңыз, және сол құрылғыдағы қолданба оны әлдеқашан береді. Мақсат VPN жұмыс станциясының бұзылуына төзімділік болса, сол шабуылдаушы қабілетін атап, оған бағаланған тәртіпті таңдаңыз, ал фишинг талабын болжамай, бөлек айтыңыз.
Содан кейін операциялық жартысын қарастырыңыз, ол осының бірдеңесі оқиғамен соқтығысқанда тірі қала ма, соны шешеді. Құрылғыны жоғалту құжатталған алмастыру жолын қажет етеді, тіркелгі деректерін айналдыру белсенді сессияларды жоюды қажет етеді, ал тіркелу материалы тұқыммен бірдей қорғауды қажет етеді, өйткені қорғалмаған тіркелу көшірмесі шабуылдаушыға сол болашақ кодтарды қысқа жолмен береді. Осы төрт тармақты санау бір құрылғыдағы токендер жақсы ма, әлде пайдасыз ба деп таласудан гөрі пайдалырақ.