Neteisinga autentifikatoriaus piktograma? Kodėl logotipas nieko neįrodo
Trūkstamas logotipas nieko nesako apie tai, kas turi jūsų antrąjį veiksnį. Patikrinkite registraciją per paskyrą ir niekada neįkelkite QR kodo, kad pataisytumėte paveikslėlį.
Pilki kvadratai ten, kur turėtų būti prekės ženklo logotipas, atrodo nerimą keliančiai, tačiau būtent jie yra ne tas dalykas, į kurį reikėtų reaguoti. Paveikslėlis, kurį piešia autentifikatorius, yra rodymo detalė, gaunama iš įrašo etikečių, o saugumo klausimas yra tai, ar to įrašo viduje esanti paslaptis priklauso jūsų paskyrai. Šių dviejų dalykų atskyrimas yra tai, kas skiria kosmetinį taisymą nuo prisijungimo duomenų incidento. Jis taip pat sustabdo taisymą, kuris viską pablogina.
Piktograma ir paslaptis atsako į skirtingus klausimus
Autentifikatoriaus įrašas sukuriamas iš rakto URI, kuris neša bendrą paslaptį kartu su paskyros etikete ir išdavėjo vardu. Programėlė nupiešia logotipą iš atpažinto išdavėjo, o nepažįstamas ar pakeistas išdavėjas tiesiog sukuria bendrą vaizdą. Niekas tame atvaizdavime nepasako, kas dar turi paslapties kopiją, ir niekas teisingame logotipe nepasako, kad įrašas yra tik jūsų. Skatykite atvaizdavimą kaip užuominą apie etiketę, o ne kaip teiginį apie saugojimą.
Priešingai irgi tiesa, ir tai yra pavojingesnė kryptis. Įtikinantis logotipas įrodo dar mažiau nei jo nebuvimas.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Niekada nesiregistruokite iš naujo, kad pataisytumėte paveikslėlį
Internete plintantis taisymas yra iš naujo sugeneruoti QR kodą, o tai reiškia eksportuoti paslaptį ir perduoti ją per kitą įrankį. Tai paverčia rodymo problemą atskleidimu, nes eksportuojamame faile yra būtent ta medžiaga, kurios užpuolikui reikia galiojantiems kodams sukurti. Įkėlimas į interneto generatorių atiduoda antrąjį veiksnį trečiajai šaliai mainais į gražesnę piktogramą.
Jei paskyra vis dar priima kodus, registracija yra nepažeista, o atvaizdavimas yra kosmetinis. Pasidomėkite paties autentifikatoriaus dokumentacija apie išdavėjo etiketes ir piktogramų paiešką ir palikite įrašą ramybėje. Etiketės redagavimas siekiant primesti logotipą yra įrašo pakeitimas dėl priežasties, neturinčios nieko bendra su autentifikavimu.
Laikykite originalų QR paveikslėlį, neapdorotą rakto URI ir bet kokią rankinę paslaptį toliau nuo bilietų, pokalbių gijų, ekrano kopijų ir viešų problemų sekiklių. Sąrankos puslapio ekrano kopijoje dažnai būna daugiau, nei ketino ją padaręs žmogus.
Kai paslaptis iš tikrųjų buvo atskleista
Atskleidimą traktuokite kaip atskirą incidentą su savo atsaku. Naudokite paslaugos palaikomą pakeitimo procesą naujam autentifikatoriui užregistruoti, patvirtinkite, kad naujasis įrašas generuoja priimamus kodus, ir atšaukite seną registraciją serveryje. Ištrynus įrašą vietoje, serverio pusės registracija nepašalinama, todėl atskleista paslaptis gali toliau veikti, kol paslaugai nepranešta kitaip. Būtent šiame tarpelyje tarp vietinio trynimo ir serverio būsenos slypi didžioji dalis rizikos.
Tvarka čia svarbi. Pirmiausia užregistruokite pakaitalą, patikrinkite jį ir tik tada pašalinkite senąjį, nes dauguma paslaugų jus užrakins, jei dings paskutinis veiksnys. Atsarginiai kodai taip pat priklauso šiai sekai, nes jie yra atsarginis kelias, kai telefonas nepasiekiamas.
Patikrinkite, ar ta pati paslaptis nebuvo naudota kur nors kitur. Į generatorių įklijuotas rakto URI išėjo iš jūsų kontrolės, o paskyra už jo turėtų būti laikoma bendra, kol registracija nebus pakeista.
Pagalbos prašymuose reikėtų aprašyti vizualinę problemą be kodų ar sąrankos medžiagos. Viskas, kas susiję su paskyra, priklauso patvirtintam teikėjo kanalui, o ne viešai gijai.
Išsaugokite atkūrimo kelią prieš trynimą
Prieš pašalindami bet kurį veikiantį įrašą, patvirtinkite, kad yra patvirtintas atkūrimo kelias ir kad galite juo naudotis. Kosmetinis taisymas, pasibaigiantis užrakinimu, yra blogesnis rezultatas nei neteisingas logotipas, o užrakinimai dažni, kai vienintelis užregistruotas įrenginys yra tas, kuris redaguojamas.
Priėmimo sąlyga siaura: patvirtintas ryšys tarp paskyros ir autentifikatoriaus, registracijos medžiagą laikant privačiai. Pažįstamas ženklelis nėra šios sąlygos dalis, o jo nebuvimas nėra kompromitacijos įrodymas.
Pats rakto URI formatas dokumentuotas Google Authenticator rakto URI specifikacijoje, kuri taip pat primena, kad turinyje yra paslaptis, o ne logotipas. Perskaitykite ją prieš eksportuodami ką nors iš įrašo, kurio negalite sau leisti prarasti.