Firwat e gültegen Eenmol-Code beim VPN-Login trotzdem feelt

Dir oppent de VPN-Client, tippt d'Passwuert an, an déi sechs Zifferen aus Ärem Authenticator kommen als ongülteg zréck — zweemol, dann eng drëtt Kéier. Um Kont huet sech zënter gëschter näischt geännert, also ass den Instinkt, den Aschreiwung am Authenticator ze läschen an en nach emol ze scannen — meeschtens déi falsch Reparatur. En Eenmol-Code ass net en zweet Passwuert: den Gateway muss en an engem bestëmmte Schrëtt froen, aus engem bestëmmten ageschriwwenen Aschreiwung, bannent enger bestëmmter Fënster, an déi meescht Oflehnungen geschéien, ier d'Zifferen verglach ginn. Fënnt eraus, a wéi engem Schrëtt Dir sidd, ier Dir d'Aschreiwung beréiert.

D'Uerdnung vun de Froe seet, a wéi enger Stréimung Dir sidd

Dräi Formen decken bal all VPN-Login mat engem Code of. An der zwee-Schrëtt-Form schéckt de Client d'Passwuert, de Server gëtt eng Erausfuerderung aus, an de Client freet nach emol. An der kombinéierter Form wëll den Gateway d'Passwuert an de Code an enger Afgab — heiansdo ueneen, heiansdo no engem Trenner, deen nëmmen den Operateur dokumentéiert. An der Browser-Form huet de Client guer keen Feld: de Code geet an eng Websäit, oder eng Push-Approbatioun ersetzt en, an den Desktop-Client waart op d'Resultat.

Déi falsch Form gesäit aus wéi e schlechte Code. Pecht en neie Code an e Feld, dat nëmmen fir d'Passwuert geduecht ass, an de Server liest en als Deel vum Passwuert. Op der Client-Säit maachen OpenVPN 2.4 an neiere Versiounen den Ënnerscheed sichtbar: e Server, deen mat AUTH_FAILED,CRV1: äntwert, erwaart eng Äntwert op d'Erausfuerderung, also brauch de Profil static-challenge oder eng Passwuertdatei an SCRV1:-Form. En eelere Profil nëmme mat auth-user-pass validéiert d'Passwuert a bleift dann stoen, wat am Log wéi en OTP-Feeler ausgesäit, obwuel kee Code geschéckt gouf.

WireGuard verdéngt et, als Ausnam genannt ze ginn: et authentifizéiert Schlësselpaaren, net Mënschen, also gëtt et kee Feld fir e Code. Wann e Provider sou een ubidde, ass et eppes baussen dem Tunnel, wat en unhëlt.

Wat de Server mat de sechs Zifferen mécht

Zäitbaséiert Code follegen RFC 6238, deen déi eelere compteurbaséiert Konstruktioun aus RFC 4226 abrullt: en HMAC iwwer en beweegleche Faktor, standardméisseg op sechs Zifferen ofgeschnidden. Fir TOTP ass de beweegleche Faktor déi aktuell Unix-Zäit gedeelt duerch e Schrëtt, 30 Sekonnen, ausser den Operateur huet en geännert. De Verifizéierer vergläicht Är Zifferen ni mat engem gespäicherte Wäert; en rechent den erwaarte Code aus dem gedeelte Som nei a akzeptéiert normalerweis och déi benop Schrëtt, sou datt en luesen Hiwen an zréck den Alog net feelt.

Zwee Konsequenze ginn iwwersinn. D'Zäitzone vum Telefon spillt keng Roll, well de Som ni eng lokal Auer gesäit — nëmmen den Ofwäichung vun der realer UTC zielt, an en Apparat, deen zwou Minutte vir ass, feelt bei all Code wärend en e propperen Ofzielung weist. An e Code ass vun der Konstruktioun hier eenmol: de Verifizéierer behält de leschte Compteurwäert, deen en fir dee Som akzeptéiert huet, also ginn déi selwecht Zifferen nach emol agereecht, och bannent der selwechter Fënster, verworf. E Client, deen no engem Timeout nach emol probéiert, kann de Code verbrennen, deen en just geschéckt huet.

Compteurbaséiert Token beweegen hire Compteur bei all Drock, also komme se aus dem Synchron, nodeems Code generéiert awer ni geschéckt goufen; déi üblech Reparatur ass eng Resynchroniséierungsfënster, déi e puer Wäerter virus akzeptéiert. Wann den Operateur HOTP ageschriwwen huet an Är App TOTP weist, ass all Wäert falsch op eng Manéier, déi wéi en Auereproblem ausgesäit. D'URI fir d'Bereitstellung hannert dem QR-Code nennt den Typ, d'Zifferen, d'Period an den Hash.

Feeler, déi wéi e falsche Code ausgesinn

Den ageschriwwenen Aschreiwung ass dee meeschte Schëllegen. Authenticator-Appen etikettéieren Aschreiwungen no Emittent a Kont, also kann een, deen zwou Identitéiten um selwechte VPN huet, zwou Aschreiwungen hunn, deenen hir Etiketten sech an engem Zeechen ënnerscheeden. E Code ass nëmme fir dee Som valabel, deen en generéiert huet, an fir näischt anescht. Vergläicht d'Etikett um Telefon mam Benotzernumm, deen de Server registréiert, net mat deem, wat Dir iech erënnert, agetippt ze hunn.

Zweetens en Ensembel vu Parameteren, deen net passt. E Som, deen mat aacht Zifferen, enger Period vun 60 Sekonnen oder SHA-256 ageschriwwen ass, gëtt Code, déi e Verifizéierer, dee sechs Zifferen, 30 Sekonnen an SHA-1 erwaart, verwërft, an um Client ass dat net vun engem falsche Code z'ënnerscheeden. Et erschéngt no Migratiounen, wou den Aschreiwung aus engem Foto vum QR-Code erëm bäigefüügt gouf, oder wou den Token-Record mat Standardwäerter erëm opgebaut gouf.

Drëttens geet et net ëm de Code. Gateways schécken normalerweis een allgemenge Authentifikatiounsfeeler fir e falscht Passwuert, en ofgelafene Code an en deaktivéierte Kont, absichtlech, sou datt keen erausfanne kann, wéi e Faktor versot huet. Liest de Log vum Gateway oder RADIUS amplaz de Banner vum Client: eng Erausfuerderung, déi ni ausginn ass, eng Zougangsverweigerung ouni OTP-Attribut an eng Verweigerung no der Politik gesinn um Bildschierm d'selwecht aus a féieren zu ënnerschiddlechen nächsten Schrëtt.

Eng kuerz Rei, déi et agrenzt

Fänkt mat der bëllegster Kontroll un a stoppt beim éischte Schrëtt, deen net hält.

1. Waart op en neie Code, schéckt en eng Kéier, a notéiert, ob d'Erausfuerderung virum oder nom Akzeptéiere vum Passwuert erschéngt.
2. Passt d'Etikett am Authenticator mam Benotzernumm un, dee de Server späichert.
3. Confirméiert, datt de Profil iwwerhaapt op eng Erausfuerderung äntwerten kann, wéi am Fall CRV1 uewen.
4. Vergläicht d'Auer vum Apparat mat enger bekannter Zäitquell; en Ofwäichung iwwer e puer Zéngte Sekonnen brécht TOTP vun eleng.
5. Frot den Operateur, ob den Token TOTP oder HOTP ass, a wéi eng Zifferen, Period an Hash ageschriwwe goufen.

Zwee Reegele verhënneren, datt dëst et méi schlëmm mécht. Probéiert net vill Mol: vill Gateways ziele Feeler pro Kont a spären en dann oder fänken un, Äntwerten ze verzögeren, sou datt eng Well eng kleng Konfiguratiounsextratioun an en Support-Ticket ëmwandelt. A schreift den Token net als Diagnostik nei an, well dat dee ale Som ongülteg mécht; wann de richtege Feeler eng Erausfuerderung war, déi de Client ni geschéckt huet, hutt Dir elo zwou Ännerungen z'erklären amplaz enger.

Hält de Som an d'Rettungscode baussen dem Circuit

Déi sechs Zifferen an de Geheimnis hannendrun sinn net austauschbar. En QR-Code fir d'Bereitstellung oder e Base32-Som generéiert all zukünftege Code fir de Kont, also gehéiert en an déi selwecht Kategorie wéi d'Passwuert: net an engem Screenshot, net an engem Ticketkommentar, net an engem Chat mat engem, deen sech als éischten un Iech adresséiert huet. Rettungscode sinn en anere Mechanismus — eenmol, si sprange meeschtens d'Codefrot komplett, an een dovun ze verbrauchen, fir de Kont ze testen, hëlt ee Fallback ewech, deen Dir méi spéit vläicht braucht.

E Code mécht och keng Login-Säit vertrauenswürdeg: eng OTP-Frot op enger ähnlecher Domain sammelt e valabele Code a spillt en bannent der Fënster erëm of, an d'Zertifikat ass nach ëmmer dat, wat Iech seet, wou Dir tippt.

Wann d'Rei op engem Profil ophält, deen net op eng Erausfuerderung äntwerten kann, reparéiert de Profil a test nach emol mat engem neie Code. Wann se op net passend Aschreiwungsparameter stéisst, frot den Operateur, den Token-Record ze liesen, ier iergendeen eppes scannt. Wann se op eng Spär stéisst, waart se of amplaz de Client ze wiesselen — de Kontstatus ass de Block, net d'App.