Бир эле ноутбуктагы TOTP чын эле экинчи факторбу?
VPN ноутбугундагы код генератору ошол эле бузуу чегинин ичинде турган ээлик фактору. Адегенде урук менен сессияны көзөмөлдөңүз.
Адегенде сырсөз, анан алты орундуу код сураган VPN кардарына кириңиз, жана эки сурам эки көз карандысыз тоскоол болуп көрүнөт. Фактордун түрү боюнча санаак, ошондой: сырсөз — өзүңүз билген нерсе, код — өзүңүздө бар нерсе. Бир бузулган ноутбук эмнени ашкерелегенин санаак, алар бир чекке кулап калышы мүмкүн, анткени сизде бар нерсе — терип жаткан машинаңыздагы файл. Ушул эки санактын ортосундагы айырма — бул серептин темасы.
Сырсөз талаасынан код талаасына чейин бир кирүүнү көзөмөлдөңүз
Белгилерди эмес, тартипти караңыз. Кардар сырсөздү жөнөтөт, сервер экинчи далил керек деп жооп берет, кардар алты же сегиз санга талаа ачат. Ал талаанын артында жалпы сыр жана саат кармаган генератор колдонмосу турат. Ал сыр менен учурдагы убакыт кадамынан маани эсептейт, ал эми сервер ошол маанини сырдын өз көчүрмөсүнөн кайра эсептейт.
Эки тарап тең бирдей ачкыч материалын кармайт. Ушул симметрия — кодду сыр деп сүрөттөгөндө адамдар өткөрүп жиберген бөлүк: жеткирүүчү да сиздин коддоруңузду жарата алат, ошондуктан урук ар кандай жалгыз чыгарылыштан кымбат. Агып кеткен код — бир жолку маани; аны жараткан урук — алмаштырылганга чейин жарактуу маанилерди чыгара берүүчү туруктуу каттоо маалы.
Активдештирүү — агымдын экинчи жарымы. Түзмөктүн ПИН коду, биометрикалык сурам же шифрленген контейнер менен ачылган генератор ээлик далилин жана дагы бир нерсени сунуштайт. Шифрлөөсүз иштеп, операциялык тутум сессиясы менен ачылган генератор файлды гана сунуштайт. Ошол эле колдонмо каттоо кандай жүргүзүлгөнүнө жараша эки тартипти тең сунуштай алат, ошондуктан жайгаштыруу чечими ошол кадамда, колдонмонун маркетинг барагында эмес.
Код чын эле эмнени далилдей турганын чечиңиз
Стандарттардын тили бул жерде өзгөчө ачык, жана аны түздөн-түз окууга татыктуу. NISTтин аутентификаторлор боюнча көрсөтмөсү программалык OTP генераторлорун аутентификаторлор катары тизмелейт, активдештирүү фактору бар көп факторлуу OTPден бир факторлуу OTPни ажыратат жана OTP аутентификациясы фишингге туруктуу эмес деп билдирет. Ушул үч эреженин ар бири сурам жөнүндө эмнени ырастай аларыңызды өзгөртөт.
Фишингге туруксуздук — эң курч кыры. Талаага терилген код башка адамдын талаасына реалдуу убакытта, ага көндүрүлгөн адам тарабынан терилиши мүмкүн. Терезе кыска, бул пайдалуу аракеттердин санын азайтат, бирок техниканы жаббайт. Эгер талабыңыз ага каршы турууну камтыса, генератор кайда иштесе да OTP туура эмес примитив.
Бир факторлуу көп факторлууга каршы — экинчи айырма. Активдештирүү кадамысыз пайда болгон код файлды ээлөөнү далилдейт жана башка эч нерсени эмес, ал эми файл аны окуй алган каттоо эсеби канчалык бекем болсо, ошончолук бекем. Активдештирүү факторун кошуңуз, ырастоо жакшырат, бирок ал дагы эле кирүүдө сунушталган далилди сүрөттөйт, аны чыгарган машинанын обочолонушун эмес.
Бузулган ноутбук кайда жетерин караңыз
Жумуш станциясында код аткаруу мүмкүнчүлүгү бар кол салуучу сиз терип жаткан талааны окуу менен чектелбейт. Ийгиликтүү кирүүдөн кийин түзүлгөн сессия адатта токен же cookie болуп саналат, ал эми токенди башка машинадан таптакыр кодсуз колдонсо болот. Эгер бул сиз коргоп жаткан жөндөм болсо, кирүүдө экинчи сурам кошуу кол салуудагы кадамдардын санын өзгөртөт, натыйжаны эмес.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Үчүнчү мамычаны чынчыл мамыча деп окуңуз. Жогорудагы ар бир тартип жумуш станциясынын ишеним чегинин ичинде бир нерсе калтырат, анткени сессия дал ошол жерде колдонулат. Өзгөргөнү — узак мөөнөттүү сыр ошол чек менен кошо жүрөбү, же анын сыртында калабы, жана далил белгилүү бир келип чыгууга байланганбы, ошондуктан окшош барак аны кайра жөнөтө албайт.
Дагы эки майда деталь ошол эле сүрөткө таандык. Код өзүнүн кабыл алуу терезеси бою жарактуу бойдон калат, көбүнчө отуз секундга кошуп сааттын четтөөсүнө чыдамдуулук, ошондуктан кармалган маанини ошол терезенин ичинде кайра ойнотууга болот, эгер текшерүүчү кайра колдонуудан баш тартпаса. Ал эми жаңы генератор орнотуу мурун аутентификацияланган сессияларды токтотпойт, ошондуктан эскирген сессия окуяны чектеши керек болгон каттоо маалынын алмашуусунан узак жашайт.
Генераторду бөлүү жардам берген жерге гана жылдырыңыз
Код генераторун телефонго коюу бир конкреттүү бузулуу үчүн чыныгы жакшыртуу: уурдалган ноутбук эми эки далилди тең алып жүрбөйт. Ал ноутбуктагы сессияны уурдоого эч нерсе кылбайт, фишинг барагында код терип жаткан колдонуучуга эч нерсе кылбайт, жана бир жолу басылып, жазуу колдонмосуна сүрөткө тартылган калыбына келтирүү коддоруна да эч нерсе кылбайт.
Ошондуктан куралды тандоодон мурун талапты жазыңыз. Максат агып кеткен сырсөзгө каршы кошумча далил болсо, аны ачык айтыңыз, жана ошол түзмөктөгү колдонмо аны мурунтан эле берет. Максат VPN жумуш станциясынын бузулушуна туруктуулук болсо, ошол кол салуучунун жөндөмүн атап, ага бааланган тартипти тандаңыз, ал эми фишинг талабын божомолдобой, өзүнчө айтыңыз.
Анан операциялык жарымын караңыз, ал булардын бир нерсеси окуя менен кагылышканда тирүү калабы, ошону чечет. Түзмөктү жоготуу документтелген алмаштыруу жолун талап кылат, каттоо маалын айландыруу активдүү сессияларды жокко чыгарууну талап кылат, ал эми каттоо материалы урук сыяктуу эле коргоону талап кылат, анткени корголбогон каттоо көчүрмөсү кол салуучуга ошол эле келечектеги коддорду кыскараак жол менен берет. Ушул төрт пунктту санап чыгуу бир түзмөктөгү токендер жакшыбы же пайдасызбы деп талашуудан пайдалуураак.