Эмне үчүн жарактуу бир жолу колдонулуучу код VPN кирүүдө ишке ашпайт

Сиз VPN кардарын ачасыз, сырсөздү тересиз, жана аутентификатордон келген алты сан жараксыз деп кайтат — эки жолу, андан кийин үчүнчү жолу. Аккаунтта кечээтен бери эч нерсе өзгөргөн жок, ошондуктан биринчи ой аутентификатордогу жазууну өчүрүп, аны кайра сканерлөө — адатта бул туура эмес оңдоо. Бир жолу колдонулуучу код экинчи сырсөз эмес: дарбаза аны белгилүү кадамда, белгилүү катталган жазуудан, белгилүү терезе ичинде сурашы керек, жана четке кагуулардын көбү сандар салыштырылганга чейин болот. Каттоого тийүүдөн мурун кайсы кадамда экениңизди аныктаңыз.

Суроолордун тартиби кайсы агымда экениңизди көрсөтөт

Кодду камтыган VPN кирүүлөрдүн дээрлик бардыгы үч формага батат. Эки кадамдуу формада кардар сырсөздү жөнөтөт, сервер чакырык чыгарат, ал эми кардар кайра сурайт. Бириктирилген формада дарбаза сырсөз менен кодду бир жөнөтүүдө каалайт — кээде бириктирилип, кээде оператор гана документтеген бөлгүчтөн кийин. Браузер формасында кардарда талаа такыр жок: код веб-баракка кирет, же push уруксат аны алмаштырат, ал эми иш тактасындагы кардар натыйжаны күтөт.

Туура эмес форма начар кодго окшош. Жаңы кодду сырсөз үчүн гана арналган талаага койсоңуз, сервер аны сырсөздүн бөлүгү катары окуйт. Кардар тарапта OpenVPN 2.4 жана андан кийинкилер айырманы көрүнүктүү кылат: AUTH_FAILED,CRV1: менен жооп берген сервер чакырыкка жооп күтөт, ошондуктан профилге static-challenge же SCRV1: түрүндөгү сырсөз файлы керек. Бир гана auth-user-pass бар эски профил сырсөздү текшерип, анан токтоп калат, бул журналда OTP ишке ашпагандай көрүнөт, бирок эч кандай код жөнөтүлгөн эмес.

WireGuardды өзгөчөлүк катары атоого татыктуу: ал адамдарды эмес, ачкыч жуптарын аутентификациялайт, ошондуктан код үчүн талаа жок. Эгер провайдер ушундайды жарнамаласа, аны туннелден тышкаркы нерсе кабыл алат.

Сервер алты сан менен эмне кылат

Убакытка негизделген коддор RFC 6238 боюнча иштейт, ал RFC 4226дагы эски эсептегичке негизделген курулушту ороп алат: кыймылдуу факторго HMAC, демейки боюнча алты санга чейин кыскартылат. TOTP үчүн кыймылдуу фактор — учурдагы Unix убактысынын кадамга бөлүнүшү, оператор өзгөртпөсө 30 секунд. Текшерүүчү сиздин сандарыңызды сакталган маани менен эч качан салыштырбайт; ал жалпы үрөөндөн күтүлгөн кодду кайра эсептеп, адатта коңшу кадамдарды да кабыл алат, ошондуктан жай айлануу кирүүнү ишке ашырбайт.

Эки кесепет көз жаздымда калат. Телефондун убакыт аймагы маанилүү эмес, анткени үрөө жергиликтүү саатты эч качан көрбөйт — реалдуу UTCден четтөө гана маанилүү, ал эми эки мүнөт озуп кеткен түзмөк таза кери саноону көрсөтүп туруп, ар бир коддо ишке ашпайт. Ал эми код долбоор боюнча бир жолу колдонулат: текшерүүчү ошол үрөө үчүн акыркы кабыл алган эсептегич маанисин эстеп калат, ошондуктан ушундай эле сандар кайра жөнөтүлсө, ошол эле терезе ичинде да четке кагылат. Мөөнөтү бүткөндөн кийин кайра аракеттенген кардар жаңы эле жөнөткөн кодун өрттөп салышы мүмкүн.

Эсептегичке негизделген токендер ар бир басууда эсептегичин жылдырат, ошондуктан коддор түзүлүп, бирок эч качан жөнөтүлбөсө, синхрондон чыгат; адаттагы оңдоо — алдыга бир нече маанини кабыл алган кайра синхрондоо терезеси. Эгер оператор HOTP каттаса, ал эми колдонмоңуз TOTP көрсөтсө, ар бир маани саат көйгөйүнө окшош түрдө туура эмес. QR коддун артындагы берүү URI түрүн, сандарын, мезгилин жана хэшин атайт.

Туура эмес кодго окшош ийгиликсиздиктер

Катталган жазуу — эң көп күнөөлүү. Аутентификатор колдонмолору жазууларды чыгаруучу жана аккаунт боюнча белгилейт, ошондуктан бир VPNде эки инсандыгы бар адамдын белгилери бир белгиге айырмаланган эки жазуусу болушу мүмкүн. Код аны түзгөн үрөө үчүн жарактуу, башка эч нерсе үчүн эмес. Телефондогу белгини сервер жаза турган колдонуучу аты менен салыштырыңыз, өзүңүз терген деп эсиңизде калган нерсе менен эмес.

Экинчиси — дал келбеген параметрлер жыйындысы. Сегиз сан, 60 секунддук мезгил же SHA-256 менен катталган үрөө алты сан, 30 секунд жана SHA-1 күткөн текшерүүчү кабыл албаган коддорду берет, ал эми кардарда муну туура эмес коддон ажыратуу мүмкүн эмес. Бул жазуу QR коддун сүрөтүнөн кайра кошулган же токен жазуусу демейки маанилер менен кайра курулган көчүрүүлөрдөн кийин пайда болот.

Үчүнчүсү код тууралуу эмес. Дарбазалар адатта туура эмес сырсөзгө, мөөнөтү бүткөн кодго жана өчүрүлгөн аккаунтка бир жалпы аутентификация катасын кайтарат, атайын, эч ким кайсы фактор ишке ашпаганын биле албашы үчүн. Кардардын баннеринин ордуна дарбазанын же RADIUSтун журналын окуңуз: эч качан чыгарылбаган чакырык, OTP атрибуту жок кирүүдөн баш тартуу жана саясат боюнча баш тартуу экранда бирдей көрүнөт жана ар башка кийинки кадамдарга алып барат.

Аны тарылта турган кыска ырааттуулук

Эң арзан текшерүүдөн баштаңыз жана аткарылбаган биринчи кадамда токтоңуз.

1. Жаңы кодду күтүңүз, аны бир жолу жөнөтүңүз жана чакырык сырсөз кабыл алынганга чейин же андан кийин пайда болорун белгилеңиз.
2. Аутентификатордогу белгини сервер сактаган колдонуучу аты менен дал келтириңиз.
3. Профилдин чакырыкка такыр жооп бере аларын ырастаңыз, жогорудагы CRV1 учурдагыдай.
4. Түзмөктүн саатын белгилүү убакыт булагы менен салыштырыңыз; бир нече ондогон секунддан ашкан четтөө TOTPну өзү бузат.
5. Оператордон токен TOTPпи же HOTPпи, кайсы сандар, мезгил жана хэш катталганын сураңыз.

Эки эреже бунун начарлашына жол бербейт. Көп жолу кайталабаңыз: көптөгөн дарбазалар ийгиликсиздиктерди аккаунт боюнча санайт жана аны же кулпулайт, же жоопторду кечиктире баштайт, ошондуктан катуу аракет чакан конфигурация катасын колдоо билетине айландырат. Жана токенди диагностика катары кайра каттабаңыз, анткени бул эски үрөөнү жараксыз кылат; эгер чыныгы кемчилик кардар эч качан жөнөтпөгөн чакырык болсо, азыр бир эмес, эки өзгөртүүнү түшүндүрүүгө туура келет.

Үрөөнү жана калыбына келтирүү коддорун айлануудан тыш кармаңыз

Алты сан жана алардын артындагы сыр алмашылбайт. Берүү QR коду же Base32 үрөөсү аккаунттун бардык келечектеги кодун түзөт, ошондуктан ал сырсөз менен бир категорияга кирет: экран сүрөтүндө эмес, билеттин комментарийинде эмес, биринчи сиз менен байланышкан адам менен чатта да эмес. Калыбына келтирүү коддору — өзүнчө механизм: бир жолу колдонулат, көбүнчө код суроосун такыр аттап кетет, ал эми аккаунтту текшерүү үчүн бирөөнү сарптоо кийин керек болушу мүмкүн болгон камдык жолду жок кылат.

Код кирүү барагын ишенимдүү кылбайт: окшош домендеги OTP суроосу жарактуу кодду чогултуп, аны терезе ичинде кайра ойнотот, ал эми сертификат дагы эле кайда тергениңизди айтып турат.

Эгер ырааттуулук чакырыкка жооп бере албаган профилге жетсе, профилди оңдоп, бир жаңы код менен кайра сынаңыз. Эгер ал дал келбеген каттоо параметрлерине жетсе, бирөө бир нерсени сканерлешинин алдында оператордон токен жазуусун окусун сураңыз. Эгер ал кулпулоого жетсе, кардарларды алмаштыруунун ордуна анын бүтүшүн күтүңүз — тоскоол — аккаунттун абалы, колдонмо эмес.