Эки сырсөз суроосу — MFA эмес: VPN кирүү эмнени текшерет

Кирүү бети сырсөздү, андан кийин экинчи сырды сурайт, жана жайылтуу дароо көп факторлуу деп сүрөттөлөт. Кээде ошондой. Көбүнчө бул эки жолу чогултулган бир фактор, анткени эки маани тең ошол эле адамдын бирдей эсинен же бирдей жазуусунан терген билими. Күчтүү туннель шифри муну өзгөртпөйт, продукт аталышындагы «коопсуз» деген сөз да өзгөртпөйт.

Билдирүүнү механизмден ажыратуу бир гана суроону талап кылат: ар бир кадам эмнени жана кимге далилдейт?

Фактор — далил, талаа эмес

Көп факторлуу аутентификация бир эсеп үчүн далилдин бирден ашык түрдүү түрү текшерилерин билдирет: колдонуучу билген нерсе, ээлик кылган нерсе, өзү болуп саналган нерсе. Экөө тең эсте калган сапты чогулткан эки талаа — эки жолу суралган далилдин бир түрү. Бул пайдалуу көзөмөл болушу мүмкүн, анткени эки көз карандысыз сырды табуу бирөөнөн кыйыныраак, бирок термин муну сүрөттөбөйт жана тобокелди баалоодо ошондой эсептелбеши керек.

Текшерүү жагы чогултуу жагы сыяктуу эле маанилүү. Түзмөктө жаралган код ошол түзмөккө көзөмөлдү сервер аны ушул эсепке байланган сыр менен салыштырып текшерсе жана кайталоолорду четке какса гана далилдейт. Баарына жарактуу жалпы код, чектөөсүз код же эмне бекитилип жатканын эч качан көрсөтпөгөн түзмөктө бекитилген суроо — баары тең белги сунуштагандан алсыз.

Ошондуктан бирөө VPNде MFA барбы деп сураса, экинчи кадам эмнени далилдей турганын жана сервер аны кантип байлай турганын сураңыз. Эгер жооп «ошол эле каталогдон экинчи сырсөз» болсо, сизде бир фактор жана саясат тууралуу сүйлөшүү бар, экинчи фактор жок.

Сертификат учурун божомолдобой, окуу керек

Кардар сертификаты кошулган сырсөз эки факторго окшошот жана ошондой болушу мүмкүн: сертификат кампада же токенде сакталат, ал эми сырсөз эстелет. Ал бир фактор да болушу мүмкүн, эгер сертификат файлы сакталган сырсөз менен бир профиль каталогунда коргоосуз жатса же сертификат бир нече адам жеке жоопкерчиликсиз бөлүшкөн түзмөккө берилсе.

Чечүүгө тийиш маселе — сертификат кимди же эмнени идентификациялайт. Түзмөк сертификаты башкарылуучу машинанын бар экенин далилдейт. Колдонуучу сертификаты инсандыкты далилдейт. Эгер жайылтуу ноутбукка бирден сертификат берип, анын бар болушун адамдын далили катары караса, экинчи фактор үнсүз түрдө ноутбукту кармаган ар ким мураска алган аппараттын касиетине айланды.

Мунун эч бири сертификаттарды жаман идея кылбайт. Бул түзмөк кепилдиги менен колдонуучу кепилдигинин ортосундагы айырманы жазып коюуга татыктуу кылат, анткени экөө ар башка суроолорго жооп берет, ал эми аларды бир деп эсептеген шайкештик таблицасы эмне корголгонун ашыра баалайт.

Шлюзга ишенүү жана колдонуучуга ишенүү — өзүнчө маселелер

Экинчи фактор эсептик маалыматтарды сиз текшербеген акыркы чекитке киргизүүнү коопсуз кылбайт. Кардар көздөлгөн шлюзду таанышы керек, буга сервер сертификаты жана кардардын ишеним конфигурациясы кызмат кылат. Фишинг кирүүнү чабуулчу көзөмөлдөгөн серверге которуу менен иштейт, ал жерде киргизилген туура бир жолку код реалдуу убакытта реалдуу кызматка жөн эле берилет.

Ошондуктан ыкма тандоо натыйжаны суроонун түзүлүшүнөн көбүрөөк өзгөртөт. Адам терген коддорду ишендирерлик барак көрсөтө алган ар ким берип коё алат, ал эми аутентификацияны конкреттүү башталыш булагына жана сессияга байлаган криптографиялык ыкмалар ушундай берүүгө долбоору боюнча каршы турат. Сизде кайсы бар экени — ыкманын касиети, диалогдогу кадамдардын саны эмес.

Жеткирүүчүнүн колдогон каттоо тартибин жана кардар агымын ээрчиңиз, сырсөз талаасына кошумча суроону бурап кошпоңуз. Үйдө жасалган экинчи кадам адатта ортодо калат, факторду маанилүү кылган байланышсыз сүрүлүүнү кошот.

Калпына келтирүү — экинчи кирүү эшиги

Ар бир ишенимдүү кирүүнүн аутентификатор жоголгондо кайтуу жолу бар, жана дал ушул жол адатта долбоордун эң алсыз жери. Эгер колдоо агенти эсептеги номерге чалгандан кийин экинчи факторду кайра коё алса, чабуулчу үчүн эң арзан маршрут — кирүү бети эмес, колдоо кызматы.

Алмаштыруу кантип иштээрин, аны ким беките турганын жана кандай далилдер талап кылынарын сураңыз. Андан кийин резервдик коддор сыяктуу калпына келтирүү материалы негизги эсептик маалыматтан өзүнчө сакталарын текшериңиз, бир компромисс экөөнү тең бербеши үчүн. NISTтин санарип идентификация боюнча көрсөтмөсү верификаторду байлоону жана аутентификатордун жашоо циклин талаптын бөлүгү катары карайт, операциялык кечиктирилген ой катары эмес.

Баалоого эмне жазуу керек

Факторлорду түрү боюнча сүрөттөңүз, ар бири эмнени далилдей турганын атаңыз жана анын эсепке кантип байланганын көрсөтүңүз. Ыкма берүүгө каршы турабы, белгилеп, калпына келтирүү жолун кирүү сыяктуу эле кунт коюп сүрөттөңүз.

Андан кийин жайылтуу ушул аныктама боюнча көп факторлуубу, аны ачык айтыңыз. «Эки сырсөз жана машина сертификаты» — чыныгы сүйлөм, ал окуучуга «ооба» деп белгиленген кутучадан алда канча көп нерсе айтат.