VPN MFA сұрауы қабылданбады: клиент не істеуі керек

Қабылданбаған MFA сұрауы желі мәселесіне ұқсайды, бірақ олай емес. Сервер екінші факторды сұрады, фактор теріс қайтты немесе мүлде келмеді, және сессия қандай да бір туннель пайда болмай тұрып қабылданбады. Одан кейін не болатыны — клиент мінез-құлқының мәселесі: қатені көрсетіп, пайдаланушыға таза әрекетті бастауға мүмкіндік беру немесе көбірек сұрау туғызып, ақыр соңында тіркелгі қорғанысын іске қосатын тәсілмен қайталау. Екінші жол — бір қате терілген кодтың құлыпталған тіркелгіге айналу жолы.

Қай сұрау сәтсіз болғанын тексеріңіз

Қай сұрау сәтсіз болғанын анықтаудан бастаңыз. Push хабарламасы, TOTP коды, FIDO дәлелі және SAML ағыны әрқайсысы әртүрлі сәтсіз болады, және клиент әдетте қайсын сұрағанын біледі. Бас тарту, мерзімі өткен шақыру және құрылғыға ешқашан жетпеген жеткізу қатесі — барлығы бірдей жалпы қатемен аяқталады, сондықтан айырмашылық көбіне тек клиенттің өз күйінде қалады.

Бұл күйді дәл жазып алуға тұрарлық. Шақыру идентификаторын немесе транзакция сілтемесін, фактор түрін, уақыт белгісін және нәтижені жазыңыз, бірақ кодты немесе дәлелді ешқашан жазбаңыз. Шақыру идентификаторы әкімшіге оқиғаны сәйкестендіру провайдерінің жағында табуға мүмкіндік беретін нәрсе; онсыз қолдау әңгімесі «соңғы сағатта бір жерде» деп басталып, әдетте сонда аяқталады. Оны құпия емес, диагностикалық метадерек ретінде қарастырыңыз.

Жаңа шақырумен бір рет, әдейі қайталап көріңіз

Қайталау жаңа шақырумен жаңа әрекет болуы керек, ескісін қайта ойнату емес. Клиент алдыңғы шақыруды қайта пайдаланса, сәйкестендіру провайдері оны ескірген деп қабылдамайды немесе, одан да жаманы, бұрынғы әрекетке арналған мақұлдауды қабылдайды. Жаңа шақыру сұраңыз, оны көрсетіңіз және пайдаланушыға қазір экранда тұрған шақыру бойынша әрекет етуге мүмкіндік беріңіз.

Араларында қысқа үзіліспен екі әрекет — орынды әдепкі; шексіз цикл олай емес. Екінші әрекет дәл солай сәтсіз болса, жалғастырмай тоқтап, хабарлаңыз.

Клиент не істемеуі керек

Клиент пайдалы болып көрінгенімен олай болмайтын бірнеше нәрсені істемеуі керек. Біреу «мақұлдау» түймесін басқанша push хабарламаларын жіберуді жалғастырмауы керек, өйткені бұл пайдаланушыларды өздері бастамаған сұрауларды мақұлдауға үйретеді және фишинг жинақтары дәл осы мінез-құлыққа сүйенеді. Күшті фактор сәтсіз болды деп әлсіз факторға оралмауы керек және бір уақытта пайда болған сертификат шағымын айналып өту үшін сервер сәйкестігін тексеруді өшірмеуі керек. Осы үш қысқа жолдың әрқайсысы аутентификация қатесін қауіпсіздік оқиғасына айналдырады.

Сондай-ақ қатені үнсіз жұтпауы керек. Байланысты жауып, айналмалы индикатор көрсететін клиент пайдаланушыны қайталау, күту немесе қолдауға қоңырау шалу туралы ешбір түсініксіз қалдырады. Қатені фактор түрімен және қысқа кодпен көрсетіңіз, хабарламаны құпиялардан таза ұстаңыз және қайталау әрекетін автоматты емес, айқын етіңіз.

Егер сұрауды пернетақтадағы адам бастамаған болса, дұрыс әрекет — оны қабылданбаған күйде қалдырып, тексерілген қолдау жолы арқылы хабарлау. Шуды тоқтату үшін сұрауды мақұлдау — сәтсіздік үлгісі, шешім емес.

Қолдау үшін нені жазу керек

Қолдау үшін пайдалы жазба шағын. Уақыт белдеуімен шамамен уақыт, тіркелгі, клиент және нұсқа, фактор түрі және әр әрекеттің құпия емес мәртебесі: сұралды, қабылданбады, мерзімі өтті, мақұлданды, бірақ саясат қабылдамады.

Клиент пен сервер сағаттарына да назар аударыңыз. TOTP — уақыт терезесін тексеру, сондықтан сағаты ауытқыған құрылғы жарамды болып көрінетін кодтар шығарады, олар әр уақытта сәтсіз болады, ал ауытқуды атамай жарамсыз код туралы хабарлаған клиент адамдарды ешқашан қате болмаған тіркелгі деректерін қайта орнатуға жібереді. Кіруі қайта-қайта сәтсіз болатын пайдаланушы қосымша сұраулар жасамас бұрын қолдау көрсетілетін клиент нұсқасын, тіркелу күйін және құжатталған қалпына келтіру ағынын тексеруі керек.

Қалпына келтіру жолы кіру жолындай қамқорлыққа лайық. Жоғалған құрылғыға арналған жұмыс ағыны бас тартудың аутентификацияны айналып өтуге рұқсатқа айналмауы үшін дәл бар, және клиент өзі ойлап тапқанша ұйымның құжатталған процесіне сілтеме беруі керек.

Бой тұрғызуға тиісті ереже: бас тарту — нәтиже, кедергі емес. Ол туралы бір рет, анық, әрекет етуге жеткілікті контекспен хабарлаңыз және келесі әрекет жаңа болсын. CISA-ның фишингке төзімді MFA туралы нұсқаулығы «мақұлданғанша сұрай беру» үлгісінің неге басынан қауіпті екенін түсіндіреді және біреу қайталау циклін ұсынғанда сілтеме жасауға тұрарлық дереккөз — сол. Клиент бас тартудан кейін қосатынның барлығы келесі шешімді адам үшін жеңілдетуі керек, шешімді одан тартып алмауы керек.