Du slaptažodžio raginimai nėra MFA: ką tikrina VPN prisijungimas

Prisijungimo puslapis prašo slaptažodžio, paskui antros paslapties, ir diegimas iš karto apibūdinamas kaip daugiaveiksnys. Kartais taip ir yra. Dažnai tai vienas veiksnys, surinktas du kartus, nes abi reikšmės yra žinios, kurias tas pats žmogus įvedė iš tos pačios atminties ar to paties užrašo. Stiprus tunelio šifravimas to nekeičia, ir žodis „saugus“ produkto pavadinime taip pat.

Atskirti teiginį nuo mechanizmo reikia vieno klausimo: ką įrodo kiekvienas žingsnis ir kam?

Veiksnys yra įrodymas, o ne laukas

Daugiaveiksnė autentifikacija reiškia, kad tai pačiai paskyrai tikrinama daugiau nei viena skirtinga įrodymo rūšis: tai, ką vartotojas žino, tai, ką jis turi, tai, kas jis yra. Du laukai, kurie abu renka įsimintą eilutę, yra viena įrodymo rūšis, prašoma du kartus. Tai gali būti naudinga kontrolė, nes dvi nepriklausomas paslaptis atspėti sunkiau nei vieną, bet tai nėra tai, ką apibūdina terminas, ir rizikos vertinime tai neturėtų būti skaičiuojama kaip tokia.

Tikrinimo pusė ne mažiau svarbi nei rinkimo pusė. Įrenginyje sugeneruotas kodas įrodo to įrenginio kontrolę tik tada, kai serveris jį tikrina pagal su šia paskyra susietą paslaptį ir atmeta pakartojimus. Bendras kodas, veikiantis visiems, neribotas kodas ar užklausa, patvirtinta įrenginyje, kuris niekada nerodo, kas patvirtinama, yra silpnesni, nei leidžia manyti etiketė.

Taigi, kai kas nors klausia, ar VPN turi MFA, paklauskite, ką įrodo antrasis žingsnis ir kaip serveris jį susieja. Jei atsakymas yra „antrasis slaptažodis iš to paties katalogo“, turite vieną veiksnį ir pokalbį apie politiką, o ne antrą veiksnį.

Sertifikato atvejį reikia skaityti, o ne daryti prielaidas

Kliento sertifikatas ir slaptažodis atrodo kaip du veiksniai, ir taip gali būti: sertifikatas laikomas saugykloje arba žetone, o slaptažodis įsimenamas. Tai gali būti ir vienas, jei sertifikato failas guli neapsaugotas tame pačiame profilio kataloge kaip išsaugotas slaptažodis, arba jei sertifikatas išduotas įrenginiui, kurį keli žmonės dalijasi be individualios atsakomybės.

Klausimas, kurį reikia išspręsti, yra ką sertifikatas identifikuoja. Įrenginio sertifikatas įrodo, kad yra valdoma mašina. Vartotojo sertifikatas įrodo tapatybę. Jei diegimas išduoda po sertifikatą kiekvienam nešiojamajam kompiuteriui ir tada jo buvimą traktuoja kaip asmens įrodymą, antrasis veiksnys tyliai tapo aparatinės įrangos savybe, kurią paveldi kiekvienas, laikantis tą kompiuterį.

Niekas iš to nepadaro sertifikatų bloga idėja. Tai daro skirtumą tarp įrenginio užtikrinimo ir vartotojo užtikrinimo vertą užrašyti, nes abu atsako į skirtingus klausimus, o atitikties skaičiuoklė, kuri juos skaičiuoja kaip vieną, pervertins, kas apsaugota.

Pasitikėjimas tinklų sietuvu ir pasitikėjimas vartotoju yra atskiros problemos

Antrasis veiksnys nepadaro saugu įvesti prisijungimo duomenis į galinį tašką, kurio nepatikrinote. Klientas turi atpažinti numatytą sietuvą, o tam skirtas serverio sertifikatas ir kliento pasitikėjimo konfigūracija. Fišingas veikia perkeldamas prisijungimą į serverį, kurį kontroliuoja užpuolikas, o ten įvestas teisingas vienkartinis kodas tiesiog realiuoju laiku persiunčiamas tikrajai paslaugai.

Todėl metodo pasirinkimas keičia rezultatą labiau nei užklausos formuluotė. Žmogaus įvestus kodus gali persiųsti bet kas, kas sugeba parodyti įtikinamą puslapį, o kriptografiniai metodai, susiejantys autentifikaciją su konkrečia kilme ir sesija, tam persiuntimui priešinasi iš prigimties. Kuris iš jų yra pas jus, yra metodo savybė, o ne dialoge esančių žingsnių skaičius.

Laikykitės tiekėjo palaikomos registracijos ir kliento eigos, o ne prijunkite papildomą užklausą prie slaptažodžio lauko. Namų gamybos antrasis žingsnis paprastai nusileidžia kažkur per vidurį, pridėdamas trintį be ryšio, kuris suteikia veiksniui prasmę.

Atkūrimas yra antrosios priekinės durys

Kiekvienas stiprus prisijungimas turi kelią atgal, kai autentifikatorius pametamas, ir būtent tas kelias paprastai yra silpniausia dizaino vieta. Jei palaikymo agentas gali iš naujo nustatyti antrąjį veiksnį po skambučio į įraše esantį numerį, pigiausias užpuoliko maršrutas yra pagalbos tarnyba, o ne prisijungimo puslapis.

Paklauskite, kaip veikia pakeitimas, kas jį tvirtina ir kokių įrodymų reikalaujama. Tada patikrinkite, ar atkūrimo medžiaga, pavyzdžiui, atsarginiai kodai, laikoma atskirai nuo pagrindinio prisijungimo duomens, kad vienas pažeidimas neatiduotų abiejų. NIST skaitmeninės tapatybės gairės verifikatoriaus susiejimą ir autentifikatoriaus gyvavimo ciklą laiko reikalavimo dalimi, o ne operacine vėlyva mintimi.

Ką rašyti vertinime

Aprašykite veiksnius pagal rūšį, įvardykite, ką kiekvienas įrodo, ir nurodykite, kaip jis susietas su paskyra. Pažymėkite, ar metodas priešinasi persiuntimui, ir aprašykite atkūrimo kelią taip pat kruopščiai kaip prisijungimą.

Tada aiškiai pasakykite, ar diegimas pagal šį apibrėžimą yra daugiaveiksnė. „Du slaptažodžiai ir mašinos sertifikatas“ yra sąžiningas sakinys, ir jis skaitytojui pasako daug daugiau nei varnelė, sakanti taip.