Ass TOTP um selwechten Laptop wierklech en zweeten Facteur?
En Code-Generateur um VPN-Laptop ass en Besitz-Facteur, deen an der selwechter Kompromittéierungsgrenz läit. Verfollegt als éischt de Seed an d'Sessioun.
Mellt Iech bei engem VPN-Client un, deen als éischt e Passwuert an duerno e sechsstellegen Code freet, an zwou Ufroe gesinn aus wéi zwou onofhängeg Barriären. Nom Facteurtyp gezielt sinn se dat: d'Passwuert ass eppes, wat Dir wësst, de Code ass eppes, wat Dir besëtzt. Nom deem gezielt, wat een eenzegen kompromittéierte Laptop offenleet, kënne se an eng eenzeg Grenz zesummefalen, well dat, wat Dir besëtzt, eng Datei op der Maschinn ass, an déi Dir tippt. Den Ecart tëscht dësen zwou Zielungen ass d'Thema vun dësem Duerchgang.
Verfollegt eng Umeldung vum Passwuertfeld bis zum Codefeld
Kuckt d'Reiefolleg, net d'Etiketten. De Client schéckt d'Passwuert, de Server äntwert, datt en zweeten Noweis néideg ass, an de Client mécht e Feld fir sechs oder aacht Zifferen op. Hannert deem Feld sëtzt eng Generateur-Applikatioun mat engem gedeelten Geheimnis an enger Auer. Si rechent e Wäert aus dem Geheimnis an dem aktuellen Zäitschrëtt, an de Server rechent dee selwechte Wäert aus senger Kopie vum Geheimnis no.
Déi zwou Säiten halen dee selwechte Schlësselmaterial. Déi Symmetrie ass den Deel, deen d'Leit iwwersinn, wa si de Code als Geheimnis beschreiwen: de Fournisseur kann och Är Coden generéieren, dofir ass de Seed méi wäert wéi all eenzeg Ausgab. En Code, deen ofleeft, ass en Eenheetwäert; de Seed, deen en erstallt huet, ass eng permanent Umeldungsinformatioun, déi weiderhi gëlteg Wäerter produzéiert, bis se ersat gëtt.
D'Aktivéierung ass déi aner Halschent vum Floss. En Generateur, deen sech mat engem Apparat-Passwuert, enger biometrescher Ufro oder engem verschlësselte Container opmécht, weist e Besitznoweis plus eppes anescht. Een, deen onverschlësselt leeft a sech mat der Betriebssystem-Sessioun opmécht, weist just d'Datei. Déiselwecht Applikatioun kann déi zwou Arrangementer ubidden, jee nodeem wéi d'Umeldung gemaach gouf, also läit d'Decisioun iwwer den Asaz an deem Schrëtt, net op der Marketing-Säit vun der App.
Entscheet, wat de Code tatsächlech beweist
D'Sprooch vun de Standarden ass hei ongewéinlech kloer, an et lount sech, se direkt ze liesen. Dem NIST seng Leitlinn fir Authentifikatoren zielt softwarebaséiert OTP-Generatoren als Authentifikatoren op, ënnerscheet Eenzel-Facteur-OTP vu Multi-Facteur-OTP mat engem Aktivéierungsfacteur, a seet, datt OTP-Authentifikatioun net phishing-resistent ass. All eenzel vun dësen dräi Konditioune ännert, wat Dir iwwer d'Ufro behaapte kënnt.
Net phishing-resistent ze sinn ass de schärfsten Eck. En Code, deen an e Feld getippt gëtt, kann an engem aneren sengem Feld getippt ginn, an Echtzäit, vun enger Persoun, déi dozou iwwerzeegt gouf. D'Fënster ass kuerz, wat d'Zuel vun den nëtzlechen Versich reduzéiert, awer d'Technik net zoumécht. Wann Är Ufuerderung d'Resistenz dogéint ëmfaasst, ass OTP de falsche Primitiv, egal wou de Generateur leeft.
Eenzel-Facteur géint Multi-Facteur ass déi zweet Ënnerscheedung. En Code, deen ouni Aktivéierungsschratt erschéngt, beweist Besitz vun enger Datei an nach eppes, an d'Datei ass just esou staark wéi de Kont, deen se liesen kann. Füügt en Aktivéierungsfacteur dobäi, an d'Behaaptung verbessert sech, obwuel se nach ëmmer de Noweis beschreift, deen bei der Umeldung virgeluecht gëtt, net d'Isolatioun vun der Maschinn, déi en produzéiert.
Kuckt, wou e kompromittéierte Laptop hikënnt
En Ugräifer mat Code-Ausféierung op der Aarbechtsstatioun ass net just drop beschränkt, d'Feld ze liesen, an dat Dir tippt. D'Sessioun, déi no enger erfollegräicher Umeldung opgebaut gëtt, ass meeschtens en Token oder e Cookie, an en Token kann aus enger anerer Maschinn benotzt ginn, ganz ouni Code. Wann dat d'Fäegkeet ass, géint déi Dir Iech verdeedegt, ännert en zweeten Ufro bei der Umeldung d'Zuel vun de Schrëtt am Ugriff, net d'Resultat.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Liest déi drëtt Kolonn als déi éierlech. All Arrangement uewen hannerléisst eppes bannent der Vertrauensgrenz vun der Aarbechtsstatioun, well do gëtt d'Sessioun benotzt. Wat sech ännert, ass ob de laangliewege Geheimnis mat där Grenz reest oder dobausse bleift, an ob den Noweis un en bestëmmten Urspronk gebonne ass, sou datt eng nogemaachte Säit en net ka viruleeden.
Zwee méi kleng Detailer gehéieren an datselwecht Bild. En Code bleift gëlteg fir seng Akzeptanzfënster, dacks drësseg Sekonnen plus Toleranz fir Auerofwäichung, sou datt en ofgefaangene Wäert bannent där Fënster kann nogespillt ginn, ausser de Verifizéierer refuséiert d'Wiederverwendung. An d'Installatioun vun engem neie Generateur mécht Sessiounen, déi schonn authentifizéiert sinn, net ëm, also iwwerlieft eng al Sessioun d'Ännerung vun der Umeldungsinformatioun, déi den Tëschefall hätt sollen andämmen.
Verréckelt de Generateur nëmmen dohi wou d'Trennung hëlleft
De Code-Generateur op en Telefon ze setzen ass eng reell Verbesserung fir eng bestëmmte Panne: en geklaute Laptop dréit net méi déi zwou Noweisen. Et mécht näischt géint Sessiounskaperei um Laptop, näischt fir en Notzer, deen en Code an eng Phishing-Säit tippt, an näischt fir d'Recovery-Coden, déi eemol gedréckt a mat engem Foto an eng Notizen-App gepackt goufen.
Schreift also d'Ufuerderung, ier Dir den Instrument wielt. Wann d'Zil en zousätzlechen Noweis géint e verluere Passwuert ass, sot et kloer, an d'App op demselwechten Apparat liwwert en schonn. Wann d'Zil d'Resistenz géint d'Kompromittéierung vun der VPN-Aarbechtsstatioun ass, nennt déi Ugräiferfäegkeet an huelt en Arrangement, dee fir se bewäert gouf, mat der Phishing-Ufuerderung getrennt uginn amplaz ugeholl.
Dann behandelt d'operationell Halschent, déi decidéiert, ob eppes dovu beim Kontakt mat engem Tëschefall iwwerlieft. Apparatverloscht brauch en dokumentéierte Ersatzwee, d'Rotatioun vun den Umeldungsinformatiounen brauch d'Revoquéierung vun aktive Sessiounen, an d'Umeldungsmaterial brauch dee selwechte Schutz wéi de Seed, well eng ongeschützt Umeldungskopie engem Ugräifer déi selwecht zukünfteg Coden op engem kierzere Wee gëtt. Dës véier Punkten ze notéieren ass nëtzlecher wéi ze diskutéieren, ob Tokenen op demselwechten Apparat gutt oder wäertlos sinn.