Екі құпия сөз сұрауы — MFA емес: VPN кіруі нені тексереді

Кіру беті құпия сөзді, содан кейін екінші құпияны сұрайды, ал орналастыру бірден көпфакторлы деп сипатталады. Кейде солай. Көбінесе бұл екі рет жиналған бір фактор, өйткені екі мән де сол бір адамның бірдей жадынан немесе бірдей жазбасынан терген білімі. Күшті туннель шифры мұны өзгертпейді, өнім атауындағы «қауіпсіз» деген сөз де өзгертпейді.

Мәлімдемені механизмнен ажырату бір ғана сұрақты талап етеді: әр қадам нені және кімге дәлелдейді?

Фактор — дәлел, өріс емес

Көпфакторлы аутентификация бір аккаунт үшін дәлелдің бірнеше түрлі түрі тексерілетінін білдіреді: пайдаланушы білетін нәрсе, иемденетін нәрсе, өзі болып табылатын нәрсе. Екеуі де есте қалған жолды жинайтын екі өріс — екі рет сұралған дәлелдің бір түрі. Бұл пайдалы бақылау болуы мүмкін, өйткені екі тәуелсіз құпияны табу бір құпиядан қиынырақ, бірақ термин мұны сипаттамайды және тәуекелді бағалауда олай саналмауы керек.

Тексеру жағы жинау жағы сияқты маңызды. Құрылғыда жасалған код сол құрылғыға бақылауды тек сервер оны осы аккаунтқа байланған құпиямен салыстырып тексерсе және қайталауларды қабылдамаса ғана дәлелдейді. Барлығына жарайтын ортақ код, шектеусіз код немесе не бекітіліп жатқанын ешқашан көрсетпейтін құрылғыда мақұлданған сұрау — бәрі де затбелгі ұсынғаннан әлсіз.

Сондықтан біреу VPN-де MFA бар ма деп сұраса, екінші қадам нені дәлелдейтінін және сервер оны қалай байлайтынын сұраңыз. Егер жауап «сол каталогтағы екінші құпия сөз» болса, сізде бір фактор және саясат туралы әңгіме бар, екінші фактор жоқ.

Сертификат жағдайын болжамдамай, оқу керек

Клиент сертификаты қоса құпия сөз екі факторға ұқсайды және солай болуы мүмкін: сертификат қоймада немесе токенде сақталады, ал құпия сөз есте сақталады. Ол бір фактор да болуы мүмкін, егер сертификат файлы сақталған құпия сөзбен бір профиль каталогында қорғаусыз жатса немесе сертификат бірнеше адам жеке жауапкершіліксіз бөлісетін құрылғыға берілсе.

Шешуге тиіс мәселе — сертификат кімді немесе нені сәйкестендіреді. Құрылғы сертификаты басқарылатын машинаның бар екенін дәлелдейді. Пайдаланушы сертификаты жеке басты дәлелдейді. Егер орналастыру ноутбукке бір сертификаттан беріп, оның бар болуын адамның дәлелі ретінде қарастырса, екінші фактор үнсіз түрде ноутбукті ұстаған әркім мұра ететін аппараттың қасиетіне айналды.

Мұның ешқайсысы сертификаттарды жаман идея етпейді. Бұл құрылғы кепілдігі мен пайдаланушы кепілдігі арасындағы айырмашылықты жазып қоюға тұрарлық етеді, өйткені екеуі әртүрлі сұрақтарға жауап береді, ал оларды бір деп санайтын сәйкестік кестесі ненің қорғалғанын асыра бағалайды.

Шлюзге сенім мен пайдаланушыға сенім — бөлек мәселелер

Екінші фактор тіркелгі деректерін сіз тексермеген соңғы нүктеге енгізуді қауіпсіз етпейді. Клиент көзделген шлюзді тануы керек, бұған сервер сертификаты мен клиенттің сенім конфигурациясы қызмет етеді. Фишинг кіруді шабуылдаушы басқаратын серверге көшіру арқылы жұмыс істейді, ал онда енгізілген дұрыс бір реттік код нақты уақытта нақты қызметке жай ғана жіберіледі.

Сондықтан әдіс таңдау нәтижені сұраудың тұжырымынан гөрі көбірек өзгертеді. Адам терген кодтарды сенімді бетті көрсете алатын кез келген адам жібере алады, ал аутентификацияны нақты бастау көзі мен сеансқа байлайтын криптографиялық әдістер мұндай жіберуге өз жобасы бойынша қарсы тұрады. Сізде қайсысы бар екені — әдістің қасиеті, диалогтағы қадам саны емес.

Жеткізушінің қолдайтын тіркеу тәртібі мен клиент ағынын ұстаныңыз, құпия сөз өрісіне қосымша сұрау бұрап қоспаңыз. Үйде жасалған екінші қадам әдетте ортада қалады, факторды мағыналы ететін байланыссыз үйкеліс қосады.

Қалпына келтіру — екінші кіреберіс есік

Кез келген сенімді кірудің аутентификатор жоғалғанда қайту жолы бар, және дәл осы жол әдетте жобаның ең әлсіз жері. Егер қолдау агенті есепте тұрған нөмірге қоңырау шалғаннан кейін екінші факторды қалпына келтіре алса, шабуылдаушы үшін ең арзан маршрут — кіру беті емес, қолдау қызметі.

Ауыстыру қалай жұмыс істейтінін, оны кім бекітетінін және қандай дәлелдер талап етілетінін сұраңыз. Содан кейін резервтік кодтар сияқты қалпына келтіру материалы негізгі тіркелгі деректерінен бөлек сақталатынын тексеріңіз, бір компромисс екеуін де бермеуі үшін. NIST-тің цифрлық сәйкестік жөніндегі нұсқаулығы верификаторды байлауды және аутентификатордың өмірлік циклін талаптың бөлігі ретінде қарастырады, операциялық кейінгі ой ретінде емес.

Бағалауға нені жазу керек

Факторларды түрі бойынша сипаттаңыз, әрқайсысы нені дәлелдейтінін атаңыз және оның аккаунтқа қалай байланғанын көрсетіңіз. Әдіс жіберуге қарсы тұра ма, соны белгілеп, қалпына келтіру жолын кіру сияқты мұқият сипаттаңыз.

Содан кейін орналастыру осы анықтама бойынша көпфакторлы ма, оны ашық айтыңыз. «Екі құпия сөз және машина сертификаты» — адал сөйлем, ол оқырманға «иә» деп қоятын құсбелгіден әлдеқайда көп нәрсе айтады.