Nepareiza autentifikatora ikona? Kāpēc logotips neko nepierāda
Trūkstošs logotips neko nepasaka par to, kam pieder jūsu otrais faktors. Pārbaudiet reģistrāciju kontā un nekad neaugšupielādējiet QR kodu, lai salabotu attēlu.
Pelēki kvadrāti vietā, kur vajadzētu būt zīmola logotipam, izskatās satraucoši, taču tie ir nepareizā lieta, uz ko reaģēt. Attēls, ko zīmē autentifikators, ir attēlojuma detaļa, kas iegūta no ieraksta etiķetēm, bet drošības jautājums ir, vai noslēpums šajā ierakstā pieder jūsu kontam. Šo divu lietu šķiršana ir tas, kas atšķir kosmētisku labojumu no akreditācijas datu incidenta. Tas arī aptur labojumu, kas situāciju padara sliktāku.
Ikona un noslēpums atbild uz dažādiem jautājumiem
Autentifikatora ieraksts tiek izveidots no atslēgas URI, kas nes koplietotu noslēpumu kopā ar konta etiķeti un izdevēja nosaukumu. Lietotne uzzīmē logotipu no izdevēja, ko tā atpazīst, un nezināms vai mainīts izdevējs vienkārši rada vispārīgu attēlu. Nekas šajā attēlojumā nepauž, kam citam ir noslēpuma kopija, un nekas pareizā logotipā nepauž, ka ieraksts ir tikai jūsu. Lasiet attēlojumu kā mājienu par etiķeti, nevis kā apgalvojumu par glabāšanu.
Pretējais arī ir taisnība, un tas ir bīstamākais virziens. Pārliecinošs logotips pierāda vēl mazāk nekā trūkstošs.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Nekad nereģistrējieties no jauna, lai salabotu attēlu
Labojums, kas klejo tiešsaistē, ir QR koda atkārtota ģenerēšana, kas nozīmē noslēpuma eksportēšanu un izlaišanu caur citu rīku. Tas pārvērš attēlojuma problēmu atklāšanā, jo eksportā ir tieši tas materiāls, kas uzbrucējam nepieciešams derīgu kodu izveidei. Augšupielāde tīmekļa ģeneratorā nodod otro faktoru trešajai pusei pret skaistāku ikonu.
Ja konts joprojām pārbauda kodus, reģistrācija ir neskarta un attēlojums ir kosmētisks. Skatiet paša autentifikatora dokumentāciju par izdevēja etiķetēm un ikonu meklēšanu un atstājiet ierakstu mierā. Etiķetes rediģēšana, lai uzspiestu logotipu, ir ieraksta maiņa tāda iemesla dēļ, kam nav nekāda sakara ar autentifikāciju.
Turiet oriģinālo QR attēlu, neapstrādāto atslēgas URI un jebkuru manuālo noslēpumu ārpus pieteikumiem, tērzēšanas pavedieniem, ekrānuzņēmumiem un publiskiem problēmu izsekotājiem. Iestatīšanas lapas ekrānuzņēmumā bieži ir vairāk, nekā tā autors bija domājis.
Kad noslēpums patiešām tika atklāts
Uztveriet atklāšanu kā atsevišķu incidentu ar savu reakciju. Izmantojiet pakalpojuma atbalstīto aizstāšanas procesu, lai reģistrētu jaunu autentifikatoru, pārliecinieties, ka jaunais ieraksts ģenerē pieņemamus kodus, un atsauciet veco reģistrāciju serverī. Ieraksta dzēšana lokāli neizņem reģistrāciju servera pusē, tāpēc atklātais noslēpums var turpināt darboties, līdz pakalpojumam tiek paziņots citādi. Tieši šajā starpā starp lokālo dzēšanu un servera stāvokli atrodas lielākā daļa riska.
Secībai šeit ir nozīme. Vispirms reģistrējiet aizstājēju, pārbaudiet to un tikai pēc tam noņemiet veco, jo lielākā daļa pakalpojumu jūs bloķēs, ja pazudīs pēdējais faktors. Arī atkopšanas kodi ietilpst šajā secībā, jo tie ir rezerves ceļš, kad tālrunis nav pieejams.
Pārbaudiet, vai tas pats noslēpums nav izmantots citur. Ģeneratorā ielīmēta atslēgas URI ir izgājusi no jūsu kontroles, un konts aiz tās jāuzskata par koplietotu, līdz reģistrācija tiek aizstāta.
Atbalsta pieprasījumos jāapraksta vizuālā problēma bez kodiem vai iestatīšanas materiāliem. Viss, kas attiecas uz kontu, pieder pakalpojumu sniedzēja pārbaudītajam kanālam, nevis publiskai sarunai.
Pirms dzēšanas saglabājiet atkopšanas ceļu
Pirms noņemat jebkuru strādājošu ierakstu, pārliecinieties, ka pastāv apstiprināts atkopšanas ceļš un ka varat to izmantot. Kosmētisks labojums, kas beidzas ar bloķēšanu, ir sliktāks iznākums nekā nepareizais logotips, un bloķēšana ir bieža, ja vienīgā reģistrētā ierīce ir tā, kas tiek rediģēta.
Pieņemšanas nosacījums ir šaurs: pārbaudīta saikne starp kontu un autentifikatoru, reģistrācijas materiālu turot privātu. Pazīstams žetons nav šī nosacījuma daļa, un tā trūkums nav kompromitācijas pierādījums.
Pats atslēgas URI formāts ir dokumentēts Google Authenticator atslēgas URI specifikācijā, kas arī atgādina, ka lietderīgā slodze satur noslēpumu, nevis logotipu. Izlasiet to pirms kaut kā eksportēšanas no ieraksta, kuru nevarat atļauties pazaudēt.