VPN MFA суроосу четке кагылды: кардар эмне кылышы керек

Четке кагылган MFA суроосу тармак маселесине окшош, бирок андай эмес. Сервер экинчи факторду сурады, фактор терс кайтты же такыр келген жок, жана сессия кандайдыр бир туннель пайда боло электе эле четке кагылды. Андан кийин эмне болору — кардардын жүрүм-турумунун маселеси: катаны көрсөтүп, колдонуучуга таза аракетти баштоого мүмкүндүк берүү же көбүрөөк суроо жаратып, акырында эсеп коргоосун иштетүүчү ыкма менен кайталоо. Экинчи жол — бир туура эмес терилген коддун кулпуланган эсепке айланышы.

Кайсы суроо ийгиликсиз болгонун текшериңиз

Кайсы суроо ийгиликсиз болгонун аныктоодон баштаңыз. Push билдирүүсү, TOTP коду, FIDO далили жана SAML агымы ар бири ар башкача ийгиликсиз болот, жана кардар адатта кайсыны сураганын билет. Баш тартуу, мөөнөтү өткөн чакырык жана түзмөккө эч качан жетпеген жеткирүү катасы — баары бирдей жалпы ката менен бүтөт, ошондуктан айырма көбүнчө кардардын өз абалында гана калат.

Бул абалды так жазып алууга татыктуу. Чакырык идентификаторун же транзакция шилтемесин, фактор түрүн, убакыт белгисин жана жыйынтыкты жазыңыз, бирок кодду же далилди эч качан жазбаңыз. Чакырык идентификатору администраторго окуяны инсандык провайдердин тарабынан табууга мүмкүндүк берет; ансыз колдоо сүйлөшүүсү «акыркы саатта бир жерде» деп башталып, адатта ошол жерде бүтөт. Аны сыр катары эмес, диагностикалык метаберилиш катары караңыз.

Жаңы чакырык менен бир жолу, атайылап кайталап көрүңүз

Кайталоо жаңы чакырык менен жаңы аракет болушу керек, эскини кайра ойнотуу эмес. Кардар мурунку чакырыкты кайра колдонгондо, инсандык провайдер аны эскирген деп четке кагат же, андан жаманы, мурунку аракет үчүн арналган макулдукту кабыл алат. Жаңы чакырык сураңыз, аны көрсөтүңүз жана колдонуучуга азыр экранда турган чакырык боюнча аракет кылууга мүмкүндүк бериңиз.

Ортосунда кыска тыныгуу менен эки аракет — акылга сыярлык демейки; чексиз цикл андай эмес. Экинчи аракет ушундай эле ийгиликсиз болсо, улантуунун ордуна токтоп, кабарлаңыз.

Кардар эмне кылбашы керек

Кардар пайдалуу көрүнгөн, бирок андай болбогон бир нече нерсени кылбашы керек. Бирөө «макулдашуу» баскычын басканга чейин push билдирүүлөрүн жөнөтө бербеши керек, анткени бул колдонуучуларды өздөрү баштабаган суроолорду макулдашууга үйрөтөт жана фишинг топтомдору дал ушул жүрүм-турумга таянат. Күчтүү фактор ийгиликсиз болду деп алсыз факторго кайтпашы керек жана ошол эле учурда пайда болгон сертификат дооматын четтеп өтүү үчүн сервердин инсандыгын текшерүүнү өчүрбөшү керек. Бул үч кыска жолдун ар бири аутентификация катасын коопсуздук окуясына айландырат.

Ошондой эле катаны үнсүз жутуп албашы керек. Байланышты жаап, айланма индикатор көрсөткөн кардар колдонуучуну кайталоо, күтүү же колдоого чалуу тууралуу эч кандай түшүнүксүз калтырат. Катаны фактор түрү жана кыска код менен көрсөтүңүз, билдирүүнү сырлардан таза кармаңыз жана кайталоо аракетин автоматтык эмес, айкын кылыңыз.

Эгер суроону клавиатурадагы адам баштабаган болсо, туура аракет — аны четке кагылган бойдон калтырып, текшерилген колдоо жолу аркылуу кабарлоо. Ызы-чууну токтотуу үчүн суроону макулдашуу — ийгиликсиздиктин үлгүсү, чечим эмес.

Колдоо үчүн эмнени жазуу керек

Колдоо үчүн пайдалуу жазуу кичине. Убакыт аймагы менен болжолдуу убакыт, эсеп, кардар жана версия, фактор түрү жана ар бир аракеттин сыр эмес статусу: суралды, четке кагылды, мөөнөтү өттү, макулдашылды, бирок саясат четке какты.

Кардар менен сервердин сааттарына да көңүл буруңуз. TOTP — убакыт терезесин текшерүү, ошондуктан сааты жылган түзмөк жарактуу көрүнгөн коддорду чыгарат, алар ар дайым ийгиликсиз болот, ал эми жылышты эске албастан жараксыз код тууралуу кабарлаган кардар адамдарды эч качан туура эмес болбогон эсептик дайындарды кайра орнотууга жиберет. Кирүүсү кайра-кайра ийгиликсиз болгон колдонуучу кошумча суроолорду жаратканга чейин колдоого алынган кардар версиясын, каттоо абалын жана документтештирилген калыбына келтирүү агымын текшериши керек.

Калыбына келтирүү жолу кирүү жолундай эле камкордукка татыктуу. Жоголгон түзмөк үчүн жумуш агымы баш тартуу аутентификацияны четтеп өтүүгө уруксат болуп калбашы үчүн так ушул максатта бар, жана кардар өзү ойлоп табуунун ордуна уюмдун документтештирилген процессине шилтеме бериши керек.

Курууга тийиш болгон эреже: баш тартуу — жыйынтык, тоскоолдук эмес. Бул тууралуу бир жолу, анык, аракет кылууга жетиштүү контекст менен кабарлаңыз жана кийинки аракет жаңы болсун. CISAнын фишингге туруктуу MFA боюнча көрсөтмөсү «макулдашылганга чейин сурай берүү» үлгүсү эмне үчүн башынан эле кооптуу экенин түшүндүрөт жана бирөө кайталоо циклин сунуштаганда шилтеме кылууга татыктуу булак — ошол. Кардар баш тартуудан кийин кошкондун баары кийинки чечимди адам үчүн жеңилдетүүгө тийиш, чечимди андан тартып алууга эмес.