Zwee Passwuert-Ufroen sinn net MFA: wat en VPN-Login verifizéiert

D’Login-Säit freet no engem Passwuert, duerno no engem zweete Geheimnis, an d’Deployment gëtt direkt als Multifaktor beschriwwen. Heiansdo ass et dat. Oft ass et een eenzege Faktor, deen zweemol gesammelt gëtt, well béid Wäerter Wëssen sinn, dat déiselwecht Persoun aus demselwechte Gediechtnis oder der selwechter Notiz getippt huet. Eng staark Tunnel-Verschlësselung ännert dat net, a wat d’Wort „sécher“ am Produktnumm ugeet, och net.

D’Behaaptung vum Mechanismus ze trennen erfuerdert eng eenzeg Fro: wat beweise jiddwer Schrëtt, a fir wien?

E Faktor ass e Beweis, keen Feld

Multifaktor-Authentifikatioun heescht, datt méi wéi eng ënnerschiddlech Zort Beweis fir deeleche Kont verifizéiert gëtt: eppes wat de Benotzer weess, eppes wat hien huet, eppes wat hien ass. Zwee Felder, déi allebéid eng erënnert Zeecheketten sammelen, sinn eng Zort Beweis, déi zweemol gefrot gëtt. Dat kann eng nëtzlech Kontroll sinn, well zwee onofhängeg Geheimnisser schwéierer ze roden sinn wéi een, awer et ass net wat den Terminus beschreift an et soll an enger Risikobewäertung net als sou gezielt ginn.

D’Verifizéierungssäit ass grad esou wichteg wéi d’Sammelsäit. En Code, deen op engem Apparat generéiert gëtt, bewise just d’Kontroll iwwer deen Apparat, wann de Server en géint e Geheimnis kontrolléiert, dat un dëse Kont gebonnen ass, an d’Wiederhuelunge refuséiert. En gedeelte Code, deen fir jiddwereen funktionéiert, en Code ouni Limite an eng Ufro, déi op engem Apparat ugeholl gëtt, deen ni weist wat ugeholl gëtt, si all méi schwaach wéi d’Etikett et vermuten léisst.

Also wann een freet, ob de VPN MFA huet, freet wat den zweete Schrëtt beweist a wéi de Server en bind. Wann d’Äntwert „en zweet Passwuert aus demselwechten Verzeechnes“ ass, hutt Dir ee Faktor an eng Gespréich iwwer Politik, keen zweete Faktor.

De Fall vum Zertifikat muss gelies ginn, net ugeholl

En Client-Zertifikat plus e Passwuert gesäit aus wéi zwee Faktore, an et kann sinn: den Zertifikat läit an engem Späicher oder op engem Token, an d’Passwuert gëtt erënnert. Et kann awer och een sinn, wann d’Zertifikatsdatei ongeschützt am selwechte Profilverzeechnes läit wéi d’gespäichert Passwuert, oder wann den Zertifikat fir en Apparat ausgestallt gouf, deen e puer Leit ouni individuell Verantwortung deelen.

D’Fro, déi muss gekläert ginn, ass wien oder wat den Zertifikat identifizéiert. En Apparat-Zertifikat bewise, datt eng verwalt Maschinn do ass. En Benotzer-Zertifikat bewise eng Identitéit. Wann d’Deployment ee Zertifikat pro Laptop ausstellt an duerno seng Presenz als Beweis fir d’Persoun behandelt, ass den zweete Faktor stille zu enger Eegenschaft vun der Hardware ginn, déi jiddwereen ierft, deen de Laptop hält.

Näischt dovun mécht Zertifikaten eng schlecht Iddi. Et mécht den Ënnerscheed tëscht Apparat-Sécherheet a Benotzer-Sécherheet et wäert, opgeschriwwen ze ginn, well déi zwee verschidde Froe beäntweren an eng Konformitéits-Tabelle, déi se als eng zielt, iwwerschätze wäert, wat geschützt ass.

Gateway-Vertrauen a Benotzer-Vertrauen si getrennte Problemer

En zweete Faktor mécht et net sécher, Umeldungsdaten an en Endpunkt ze tippen, deen Dir net verifizéiert hutt. De Client muss de geduechten Gateway erkennen, an dofir sinn den Zertifikat vum Server an d’Vertraue-Konfiguratioun vum Client do. Phishing funktionéiert, andeem en de Login op e Server verlagert, deen den Ugräifer kontrolléiert, an en korrekten Eenmailcode, deen do agetippt gëtt, gëtt einfach an Echtzäit un de richtege Service weidergeleet.

Dofir ännert d’Wiel vun der Method d’Resultat méi wéi d’Formuléierung vun der Ufro. Coden, déi eng Persoun tippt, kënnen vun jiddwerengem weidergeleet ginn, deen eng iwwerzeegend Säit ka weisen, während kryptografesch Methode, déi d’Authentifikatioun un de konkreten Urspronk an d’Sessioun binden, dëser Weiderleetung vum Design hir widderstoen. Wéi eng vun deenen zwee Dir hutt, ass eng Eegenschaft vun der Method, net vun der Zuel vun de Schrëtt am Dialog.

Follegt der vum Fournisseur ënnerstëtzter Aschreiwung a Client-Floss, amplaz eng zousätzlech Ufro op e Passwuertfeld ze schrauwen. En hausgemaachten zweete Schrëtt lant meeschtens irgendwou tëscht deenen zwee an derbäi Reiwung, ouni d’Bindung, déi de Faktor sënnvoll mécht.

D’Erhuelung ass déi zweet viischt Dier

Jiddwer staarken Login huet en Wee zréck, wann den Authenticator verluer geet, an genau dee Wee ass meeschtens déi schwaachst Plaz vum Design. Wann en Support-Agent den zweete Faktor no engem Telefon op eng Nummer am Dossier zerécksetze kann, ass de billigste Wee fir den Ugräifer den Helpdesk, net d’Login-Säit.

Frot wéi den Ersatz funktionéiert, wien en genehmegt a wéi eng Beweiser se verlaangen. Kontrolléiert duerno, datt d’Erhuelungsmaterial wéi Reservcoden getrennt vum primären Umeldungsdatum versuergt gëtt, sou datt een Kompromiss net béid ausléisert. Dem NIST seng Richtlinnen zur digitaler Identitéit behandelen d’Bindung vum Verifizéierer an de Liewenszyklus vum Authenticator als Deel vun der Ufuerderung, net als operationellen Nodegedanken.

Wat an d’Bewäertung schreiwen

Beschreift d’Faktore no der Zort, nennt wat jiddwereen beweist a gitt un, wéi en un de Kont gebonnen ass. Notéiert, ob d’Method der Weiderleetung widdersteet, a beschreift den Erhuelungswee mat der selwechter Suergfalt wéi de Login.

Sot duerno kloer, ob d’Deployment no där Definitioun multifaktor ass. „Zwee Passwierder an en Maschinn-Zertifikat“ ass en éierlechen Aussaz, an et seet engem Lieser vill méi wéi eng Këscht, déi jo seet.