Ar TOTP tame pačiame nešiojamajame kompiuteryje tikrai antras veiksnys?
VPN nešiojamojo kompiuterio kodo generatorius yra valdymo veiksnys, esantis toje pačioje kompromiso riboje. Pirmiausia atsekite sėklą ir sesiją.
Prisijunkite prie VPN kliento, kuris pirmiausia prašo slaptažodžio, o paskui šešių skaitmenų kodo, ir du raginimai atrodo kaip dvi nepriklausomos kliūtys. Skaičiuojant pagal veiksnio tipą, taip ir yra: slaptažodis yra tai, ką žinote, kodas yra tai, ką turite. Skaičiuojant pagal tai, ką atskleidžia vienas kompromisu pažeistas nešiojamasis kompiuteris, jie gali susilieti į vieną ribą, nes tai, ką turite, yra failas mašinoje, į kurią rašote. Šių dviejų skaičiavimų skirtumas yra šios apžvalgos tema.
Atsekite vieną prisijungimą nuo slaptažodžio lauko iki kodo lauko
Stebėkite seką, o ne etiketes. Klientas siunčia slaptažodį, serveris atsako, kad reikia antrojo įrodymo, ir klientas atveria lauką šešiems arba aštuoniems skaitmenims. Už to lauko yra generatoriaus programa, laikanti bendrą paslaptį ir laikrodį. Ji apskaičiuoja reikšmę iš paslapties ir dabartinio laiko žingsnio, o serveris perskaičiuoja tą pačią reikšmę iš savo paslapties kopijos.
Abi pusės laiko tą patį raktų materialą. Ši simetrija yra dalis, kurią žmonės praleidžia apibūdindami kodą kaip paslaptį: teikėjas taip pat gali generuoti jūsų kodus, todėl sėkla vertingesnė už bet kokį atskirą rezultatą. Nutekėjęs kodas yra vienkartinė reikšmė; jį sukūrusi sėkla yra nuolatinis prisijungimo duomuo, kuris gamina galiojančias reikšmes, kol bus pakeistas.
Aktyvavimas yra kita srauto pusė. Generatorius, atsirakinantis įrenginio kodu, biometriniu raginimu ar šifruotu konteineriu, pateikia valdymo įrodymą ir dar ką nors. Generatorius, veikiantis be šifravimo ir atsirakinantis operacinės sistemos sesija, pateikia tik failą. Ta pati programa gali pasiūlyti abu išdėstymus, priklausomai nuo to, kaip buvo atlikta registracija, todėl diegimo sprendimas yra tame etape, o ne programos rinkodaros puslapyje.
Nuspręskite, ką kodas iš tikrųjų įrodo
Standartų kalba čia neįprastai aiški, ir verta skaityti tiesiogiai. NIST gairės dėl autentifikatorių išvardija programinius OTP generatorius kaip autentifikatorius, atskiria vieno veiksnio OTP nuo kelių veiksnių OTP su aktyvavimo veiksniu ir teigia, kad OTP autentifikavimas nėra atsparus phishingui. Kiekviena iš šių trijų nuostatų keičia tai, ką galite teigti apie raginimą.
Atsparumo phishingui nebuvimas yra aštriausias kraštas. Į lauką įrašytą kodą galima įrašyti į kito žmogaus lauką realiuoju laiku, žmogaus, kurį įtikino tai padaryti. Langas trumpas, o tai mažina naudingų bandymų skaičių, bet neuždaro metodo. Jei jūsų reikalavimas apima atsparumą tam, OTP yra neteisingas pagrindinis elementas, nesvarbu, kur generatorius veikia.
Vienas veiksnys prieš kelis veiksnius yra antrasis skirtumas. Kodas, pasirodantis be aktyvavimo etapo, įrodo failo valdymą ir nieko daugiau, o failas yra tik toks stiprus, kokia yra paskyra, galinti jį skaityti. Pridėkite aktyvavimo veiksnį, ir teiginys pagerėja, nors jis vis dar apibūdina prisijungimo metu pateiktą įrodymą, o ne jį generuojančios mašinos izoliaciją.
Pažiūrėkite, ką gali pasiekti kompromisu pažeistas nešiojamasis kompiuteris
Užpuolikas, turintis kodo vykdymą darbo stotyje, neapsiriboja lauko, į kurį rašote, skaitymu. Sėkmės atveju prisijungus nustatyta sesija paprastai yra prieigos raktas arba slapukas, o prieigos raktą galima naudoti iš kitos mašinos visiškai be jokio kodo. Jei tai yra gebėjimas, nuo kurio ginatės, antrojo raginimo pridėjimas prisijungiant keičia išpuolio žingsnių skaičių, o ne rezultatą.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Trečią stulpelį skaitykite kaip sąžiningą. Kiekvienas aukščiau pateiktas išdėstymas palieka ką nors darbo stoties pasitikėjimo riboje, nes būtent ten naudojama sesija. Keičiasi tai, ar ilgalaikė paslaptis keliauja su ta riba, ar lieka už jos, ir ar įrodymas susietas su konkrečiu kilme, kad imituojantis puslapis negalėtų jo perduoti.
Dvi mažesnės detalės priklauso tam pačiam paveikslui. Kodas galioja savo priėmimo lango metu, dažnai trisdešimt sekundžių plius laikrodžio nuokrypio tolerancija, todėl užfiksuotą reikšmę galima atkartoti tame lange, nebent tikrintojas atsisako pakartotinio naudojimo. O naujo generatoriaus įdiegimas nepabaigia sesijų, kurios jau autentifikuotos, todėl pasenusi sesija išgyvena prisijungimo duomenų pakeitimą, kuris turėjo suvaldyti incidentą.
Perkelkite generatorių tik ten, kur atskyrimas padeda
Kodo generatoriaus įdėjimas į telefoną yra tikras pagerinimas vienai konkrečiai klaidai: pavogtas nešiojamasis kompiuteris nebenešioja abiejų įrodymų. Tačiau jis nieko neduoda prieš sesijos užgrobimą nešiojamajame kompiuteryje, nieko naudotojui, įrašančiam kodą į phishingo puslapį, ir nieko atsarginiams kodams, kurie kartą buvo atspausdinti ir nufotografuoti į užrašų programą.
Todėl parašykite reikalavimą prieš rinkdamiesi įrankį. Jei tikslas yra papildomas įrodymas prieš nutekėjusį slaptažodį, pasakykite tai tiesiai, ir to paties įrenginio programa jį jau teikia. Jei tikslas yra atsparumas VPN darbo stoties kompromisui, įvardinkite tą užpuoliko gebėjimą ir pasirinkite tam įvertintą išdėstymą, o phishingo reikalavimą nurodykite atskirai, o ne manykite.
Tada tvarkykite operacinę pusę, kuri nusprendžia, ar kas nors iš to išgyvena susidūrimą su incidentu. Įrenginio praradimas reikalauja dokumentuoto pakeitimo kelio, prisijungimo duomenų rotacija reikalauja atšaukti aktyvias sesijas, o registracijos medžiaga reikalauja tokios pat apsaugos kaip sėkla, nes neapsaugota registracijos kopija duoda užpuolikui tuos pačius būsimus kodus trumpesniu keliu. Šių keturių punktų išvardijimas naudingesnis nei ginčai, ar to paties įrenginio prieigos raktai geri, ar nevertingi.