MFA-Ufro fir de VPN ofgeleent: wat de Client soll maachen

Eng ofgeleente MFA-Ufro gesäit aus wéi en Netzwierkproblem an ass et net. De Server huet en zweete Faktor gefrot, de Faktor ass negativ zréckkomm oder ni ukomm, an d’Sessioun gouf ofgeleent, éier iwwerhaapt en Tunnel existéiert huet. Wat duerno geschitt, ass eng Fro vum Clientverhalen: de Feeler weisen an de Benotzer eng propper Versich ufänken loossen, oder esou neiversichen, datt méi Ufroe entstinn an um Enn de Kontschutz ausgeléist gëtt. Den zweete Wee ass deen, op deem een falsch getippte Code zu engem gespaarte Kont gëtt.

Kuckt no, wéi eng Ufro feelgeschloen ass

Fänkt domat un, ze identifizéieren, wéi eng Ufro feelgeschloen ass. Eng Push-Noriicht, en TOTP-Code, eng FIDO-Aussag an en SAML-Ofleef schloe jiddwereen anescht feel, an de Client weess normalerweis, wat hien gefrot huet. Eng Oflehnung, eng ofgelaf Erausfuerderung an e Liwwerfeeler, deen d’Apparat ni erreecht huet, Enn all an deemselwechte generesche Feeler, dofir ass den Zoustand vum Client selwer dacks déi eenzeg Plaz, wou den Ënnerscheed iwwerlieft.

Dee Zoustand ass et wäert, genee ze loggen. Loggt den Identifiant vun der Erausfuerderung oder d’Transaktiounsreferenz, den Typ vum Faktor, den Zäitstempel an d’Resultat, awer ni de Code oder d’Aussag. Den Identifiant vun der Erausfuerderung ass dat, wat engem Administrateur erlaabt, d’Evenement op der Säit vum Identitéitsprovider ze fannen; ouni hien fänkt d’Supportgespräch mat „iergendwann an der leschter Stonn“ un an hält meeschtens do op. Behandelt en als diagnostesch Metadaten, net als Geheimnis.

Probéiert eng Kéier nees, bewosst, mat enger neier Erausfuerderung

En Neiversich soll en neie Versich mat enger neier Erausfuerderung sinn, net eng Widderhuelung vun der aler. Wann de Client déi vireg Erausfuerderung nach eng Kéier benotzt, leent den Identitéitsprovider se als veralt of oder, wat schlëmmer ass, akzeptéiert eng Genehmegung, déi fir dee virege Versich geduecht war. Frot eng frësch Erausfuerderung un, weist se a loosst de Benotzer op där handelen, déi just elo um Écran ass.

Zwee Versich mat enger kuerzer Paus dertëscht sinn e vernünftege Standard; eng onbegrenzt Schläif ass et net. Wann den zweeten Versich op déiselwecht Manéier feelgeet, stoppt a mellt et, amplaz weiderzemaachen.

Wat de Client net däerf maachen

De Client däerf verschidden Saachen net maachen, déi hëllefräich ausgesinn an et net sinn. Hie däerf net weider Push-Noriichten schécken, bis een op „geneemegen“ tippt, well dat d’Benotzer léiert, Ufroe ze geneemegen, déi si net ugefaangen hunn, an dat ass genee dat Verhalen, op dat Phishing-Kits sech verloossen. Hie däerf net op e méi schwaache Faktor zréckfalen, well dee staarken feelgeschloen ass, an hie däerf d’Server-Identitéitspréifung net ausschalten, fir bei enger Zertifikatsbeschwäer durzebréngen, déi gläichzäiteg opgetrueden ass. Jiddweree vun dësen dräi Ofkierzungen mécht aus engem Authentifizéierungsfeeler en Sécherheetsvirfall.

Hie däerf de Feeler och net stëll verschlécken. E Client, deen d’Verbindung zoumécht an e Spinner weist, léisst de Benotzer ouni Ahnung, ob hie soll nach eng Kéier probéieren, waarden oder den Support uruffen. Weist de Feeler mam Typ vum Faktor an engem kuerze Code, haalt d’Noriicht fräi vu Geheimnisser a maacht d’Aktioun vum Neiversich explizit amplaz automatesch.

Wann d’Ufro net vun der Persoun op der Tastatur ausgeléist gouf, ass déi richteg Aktioun, se ofgeleent ze loossen an se iwwer de verifizéierte Supportwee ze mellen. Eng Ufro geneemegen, fir de Kaméidi opzehalen, ass de Feelermuster, net d’Léisung.

Wat fir den Support ze loggen ass

Fir den Support ass de nëtzlechen Opzeechnung kleng. D’ongeféier Zäit mat der Zäitzon, de Kont, de Client an d’Versioun, den Typ vum Faktor an den net geheimen Zoustand vun all Versich: gefrot, ofgeleent, ofgelaf, geneemegt awer duerch Politik ofgeleent.

Haalt och d’Aueren vum Client an dem Server am Bléck. TOTP ass eng Zäitfensterpréifung, dofir produzéiert en Apparat mat enger verréckelter Auer gülteg ausgesinn Codes, déi all Kéier feelgeen, an e Client, deen en ongültege Code mellt, ouni d’Verreckelung ze nennen, schéckt Leit dofir, Umeldungsdaten zréckzesetzen, déi ni falsch waren. E Benotzer, deem seng Umeldung ëmmer erëm feelgeet, soll déi ënnerstëtzt Clientversioun, den Aschreifungszoustand an den dokumentéierten Erhuelungs-Ofleef préifen, éier hien nach méi Ufroe generéiert.

Den Erhuelungswee verdéngt déiselwecht Suergfalt wéi den Umeldungswee. En Ofleef fir en verluerenen Apparat existéiert genee dofir, datt aus enger Oflehnung keng Erlaabnes gëtt, d’Authentifizéierung ze ëmginn, an e Client soll op den dokumentéierte Prozess vun der Organisatioun verlinken, amplaz eegenen ze erfinden.

D’Reegel, géint déi een opbaue soll, ass: Eng Oflehnung ass en Resultat, keen Hindernis. Mellt se eng Kéier, kloer, mat genuch Kontext fir ze handelen, a loosst déi nächst Versich eng nei sinn. D’CISA-Leitlinn zu phishing-resistenter MFA erkläert, firwat d’Muster „fro bis geneemegt“ vun Ufank un geféierlech ass, an et ass déi Referenz, déi et wäert ass ze zitéieren, wa een eng Neiversich-Schläif virschléit. Alles, wat de Client no enger Oflehnung bäisetzt, soll déi nächst Entscheedung fir e Mënsch méi einfach maachen, net d’Entscheedung vum Mënsch huelen.