Vai TOTP tajā pašā klēpjdatorā patiešām ir otrais faktors?
Kodu ģenerators VPN klēpjdatorā ir valdīšanas faktors, kas atrodas tajā pašā kompromista robežā. Vispirms izsekojiet sēklu un sesiju.
Pierakstieties VPN klientā, kas vispirms prasa paroli un pēc tam sešciparu kodu, un divi pieprasījumi izskatās kā divi neatkarīgi šķēršļi. Ja skaita pēc faktora veida, tie tādi arī ir: parole ir kaut kas, ko jūs zināt, kods ir kaut kas, kas jums ir. Ja skaita pēc tā, ko atklāj viens kompromitēts klēpjdators, tie var sabrukt vienā robežā, jo tas, kas jums ir, ir fails tajā mašīnā, kurā jūs ierakstāt. Atšķirība starp šiem diviem skaitījumiem ir šī pārskata tēma.
Izsekojiet vienai pierakstīšanās reizei no paroles lauka līdz koda laukam
Vērojiet secību, nevis uzlīmes. Klients nosūta paroli, serveris atbild, ka nepieciešams otrs pierādījums, un klients atver lauku sešiem vai astoņiem cipariem. Aiz šī lauka atrodas ģeneratora lietojumprogramma, kas glabā koplietotu noslēpumu un pulksteni. Tā aprēķina vērtību no noslēpuma un pašreizējā laika soļa, un serveris pārrēķina to pašu vērtību no savas noslēpuma kopijas.
Abas puses glabā vienu un to pašu atslēgas materiālu. Šī simetrija ir daļa, ko cilvēki palaid garām, aprakstot kodu kā noslēpumu: pakalpojumu sniedzējs var ģenerēt arī jūsu kodus, tāpēc sēkla ir vērtīgāka par jebkuru atsevišķu izvadi. Noplūdis kods ir vienreizēja vērtība; to radītā sēkla ir pastāvīgs akreditācijas datu elements, kas turpina radīt derīgas vērtības, līdz to aizstāj.
Aktivizēšana ir otra plūsmas puse. Ģenerators, kas atslēdzas ar ierīces kodu, biometrisku pieprasījumu vai šifrētu konteineru, uzrāda valdīšanas pierādījumu un vēl kaut ko. Tas, kas darbojas bez šifrēšanas un atslēdzas ar operētājsistēmas sesiju, uzrāda tikai failu. Tā pati programma var piedāvāt abus izkārtojumus atkarībā no tā, kā veikta reģistrācija, tāpēc izvietošanas lēmums ir tajā solī, nevis programmas mārketinga lapā.
Izlemiet, ko kods patiešām pierāda
Standartu valoda šeit ir neparasti skaidra, un to ir vērts lasīt tieši. NIST norādījumi par autentifikatoriem uzskaita programmatūras OTP ģeneratorus kā autentifikatorus, atšķir viena faktora OTP no vairāku faktoru OTP ar aktivizēšanas faktoru un norāda, ka OTP autentifikācija nav noturīga pret pikšķerēšanu. Katrs no šiem trim noteikumiem maina to, ko varat apgalvot par pieprasījumu.
Noturības trūkums pret pikšķerēšanu ir asākā mala. Laukā ierakstītu kodu var ierakstīt kāda cita laukā reālajā laikā cilvēks, kuru pieliecēja to darīt. Logs ir īss, kas samazina lietderīgo mēģinājumu skaitu, bet neaizver paņēmienu. Ja jūsu prasība ietver noturību pret to, OTP ir nepareizs pamatelements, neatkarīgi no tā, kur ģenerators darbojas.
Viens faktors pret vairākiem faktoriem ir otrā atšķirība. Kods, kas parādās bez aktivizēšanas soļa, pierāda faila valdīšanu un neko citu, un fails ir tikai tik spēcīgs, cik spēcīgs ir konts, kas to var nolasīt. Pievienojiet aktivizēšanas faktoru, un apgalvojums uzlabojas, lai gan tas joprojām raksturo pierādījumu, kas uzrādīts pierakstīšanās laikā, nevis to ģenerējošās mašīnas izolāciju.
Apskatiet, cik tālu var nonākt kompromitēts klēpjdators
Uzbrucējs ar koda izpildi darba stacijā nav ierobežots ar lauka, kurā jūs ierakstāt, lasīšanu. Sesija, kas izveidota pēc veiksmīgas pierakstīšanās, parasti ir pilnvaras marķieris vai sīkdatne, un marķieri var izmantot no citas mašīnas bez jebkāda koda. Ja tā ir iespēja, pret kuru jūs aizsargājaties, otra pieprasījuma pievienošana pierakstīšanās laikā maina uzbrukuma soļu skaitu, nevis rezultātu.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Lasiet trešo kolonnu kā godīgo. Katrs iepriekš minētais izkārtojums atstāj kaut ko darba stacijas uzticības robežā, jo tieši tur sesija tiek izmantota. Mainās tas, vai ilglaicīgais noslēpums ceļo kopā ar šo robežu vai paliek ārpus tās, un vai pierādījums ir piesaistīts konkrētai izcelsmei, lai imitējoša lapa to nevarētu tālāk nodot.
Divi sīkāki sīkumi pieder pie tā paša attēla. Kods paliek derīgs savā pieņemšanas logā, bieži trīsdesmit sekundes plus pulksteņa novirzes tolerance, tāpēc notverto vērtību var atkārtot šajā logā, ja vien pārbaudītājs atsakās no atkārtotas izmantošanas. Un jauna ģeneratora instalēšana nebeidz sesijas, kas jau autentificētas, tāpēc novecojusi sesija pārdzīvo akreditācijas datu maiņu, kurai bija jāierobežo incidents.
Pārvietojiet ģeneratoru tikai tur, kur atdalīšana palīdz
Kodu ģeneratora ievietošana telefonā ir īsts uzlabojums vienai konkrētai kļūmei: nozagts klēpjdators vairs nenes abus pierādījumus. Taču tas nedara neko pret sesijas nolaupīšanu klēpjdatorā, neko lietotājam, kurš ieraksta kodu pikšķerēšanas lapā, un neko pret atkopšanas kodiem, kas vienreiz izdrukāti un nofotografēti piezīmju programmā.
Tāpēc uzrakstiet prasību pirms rīka izvēles. Ja mērķis ir papildu pierādījums pret noplūdušu paroli, sakiet to tieši, un tās pašas ierīces programma to jau nodrošina. Ja mērķis ir noturība pret VPN darba stacijas kompromistu, nosauciet šo uzbrucēja spēju un izvēlieties tai novērtētu izkārtojumu, un pikšķerēšanas prasību norādiet atsevišķi, nevis pieņemiet.
Pēc tam risiniet operatīvo pusi, kas izlemj, vai kaut kas no tā iztur saskari ar incidentu. Ierīces zudums prasa dokumentētu aizstāšanas ceļu, akreditācijas datu rotācija prasa atsaukt aktīvas sesijas, un reģistrācijas materiāls prasa tādu pašu aizsardzību kā sēkla, jo neaizsargāta reģistrācijas kopija dod uzbrucējam tos pašus nākotnes kodus īsākā ceļā. Šo četru punktu uzskaitīšana ir lietderīgāka par strīdiem, vai tās pašas ierīces marķieri ir labi vai nevērtīgi.