Divi paroles pieprasījumi nav MFA: ko pārbauda VPN pieteikšanās

Pieteikšanās lapa prasa paroli, pēc tam otru noslēpumu, un izvietojums tūdaļ tiek aprakstīts kā daudzfaktoru. Dažkārt tā arī ir. Bieži tas ir viens faktors, kas savākts divreiz, jo abas vērtības ir zināšanas, ko tā pati persona ierakstījusi no tās pašas atmiņas vai tās pašas piezīmes. Spēcīga tuneļa šifrēšana to nemaina, un vārds „drošs” produkta nosaukumā arī nē.

Lai atdalītu apgalvojumu no mehānisma, vajadzīgs viens jautājums: ko pierāda katrs solis un kam?

Faktors ir pierādījums, nevis lauks

Daudzfaktoru autentifikācija nozīmē, ka vienam un tam pašam kontam tiek pārbaudīts vairāk nekā viens atšķirīgs pierādījuma veids: kaut kas, ko lietotājs zina, kaut kas, kas viņam pieder, kaut kas, kas viņš ir. Divi lauki, kas abi vāc atcerētu virkni, ir viens pierādījuma veids, kas pieprasīts divreiz. Tas var būt noderīga kontrole, jo divus neatkarīgus noslēpumus ir grūtāk uzminēt nekā vienu, taču tas nav tas, ko apraksta termins, un riska novērtējumā to nevajadzētu tā skaitīt.

Pārbaudes puse ir tikpat svarīga kā vākšanas puse. Ierīcē ģenerēts kods pierāda kontroli pār šo ierīci tikai tad, ja serveris to pārbauda pret šim kontam piesaistītu noslēpumu un noraida atkārtojumus. Koplietots kods, kas darbojas visiem, neierobežots kods vai pieprasījums, kas apstiprināts ierīcē, kura nekad nerāda, kas tiek apstiprināts, ir visi vājāki, nekā liecina etiķete.

Tāpēc, kad kāds jautā, vai VPN ir MFA, jautājiet, ko pierāda otrais solis un kā serveris to piesaista. Ja atbilde ir „otra parole no tā paša direktorija”, jums ir viens faktors un saruna par politiku, nevis otrs faktors.

Sertifikāta gadījums ir jālasa, nevis jāpieņem

Klienta sertifikāts plus parole izskatās kā divi faktori, un tā var būt: sertifikāts glabājas krātuvē vai tokenā, un parole tiek atcerēta. Tas var būt arī viens, ja sertifikāta fails atrodas neaizsargāts tajā pašā profila direktorijā kā saglabātā parole, vai ja sertifikāts izsniegts ierīcei, kuru vairāki cilvēki dala bez individuālas atbildības.

Jautājums, kas jāatrisina, ir ko sertifikāts identificē. Ierīces sertifikāts pierāda, ka ir pārvaldīta mašīna. Lietotāja sertifikāts pierāda identitāti. Ja izvietojums izsniedz vienu sertifikātu katram klēpjdatoram un pēc tam tā klātbūtni uzskata par personas pierādījumu, otrais faktors klusi ir kļuvis par aparatūras īpašību, ko manto ikviens, kas tur klēpjdatoru.

Nekas no tā nepadara sertifikātus par sliktu ideju. Tas padara atšķirību starp ierīces garantiju un lietotāja garantiju rakstīšanas vērtu, jo abas atbild uz dažādiem jautājumiem, un atbilstības izklājlapa, kas tās skaita kā vienu, pārvērtēs to, kas ir aizsargāts.

Uzticēšanās vārtejai un uzticēšanās lietotājam ir atsevišķas problēmas

Otrais faktors nepadara drošu akreditācijas datu ievadi galapunktā, kuru neesat pārbaudījis. Klientam ir jāatpazīst paredzētā vārteja, un tam ir domāts servera sertifikāts un klienta uzticēšanās konfigurācija. Fišings darbojas, pārvietojot pieteikšanos uz serveri, ko kontrolē uzbrucējs, un tur ievadītais pareizais vienreizējais kods vienkārši reāllaikā tiek pārsūtīts īstajam servisam.

Tāpēc metodes izvēle maina rezultātu vairāk nekā pieprasījuma formulējums. Cilvēka ievadītos kodus var pārsūtīt ikviens, kas spēj parādīt pārliecinošu lapu, savukārt kriptogrāfiskās metodes, kas autentifikāciju saista ar konkrēto izcelsmi un sesiju, šai pārsūtīšanai pretojas pēc konstrukcijas. Kura no tām jums ir, ir metodes īpašība, nevis soļu skaits dialogā.

Sekojiet piegādātāja atbalstītajai reģistrācijai un klienta plūsmai, nevis pieskrūvējiet papildu pieprasījumu paroles laukam. Pašdarināts otrais solis parasti nonāk kaut kur pa vidu, pievienojot berzi bez saites, kas padara faktoru jēgpilnu.

Atjaunošana ir otrās priekšējās durvis

Katrai spēcīgai pieteikšanās reizei ir atgriešanās ceļš, kad autentifikators tiek pazaudēts, un tieši šis ceļš parasti ir vājākā dizaina vieta. Ja atbalsta aģents var atiestatīt otro faktoru pēc zvana uz reģistrētu numuru, lētākais uzbrucēja maršruts ir atbalsta dienests, nevis pieteikšanās lapa.

Jautājiet, kā darbojas aizstāšana, kas to apstiprina un kādi pierādījumi tiek prasīti. Pēc tam pārbaudiet, vai atjaunošanas materiāls, piemēram, rezerves kodi, tiek glabāts atsevišķi no primārā akreditācijas datu, lai viens kompromiss neizdotu abus. NIST digitālās identitātes vadlīnijas verifikatora piesaisti un autentifikatora dzīves ciklu uzskata par prasības daļu, nevis operatīvu vēlāku domu.

Ko rakstīt novērtējumā

Aprakstiet faktorus pēc veida, nosauciet, ko katrs pierāda, un norādiet, kā tas ir saistīts ar kontu. Atzīmējiet, vai metode pretojas pārsūtīšanai, un aprakstiet atjaunošanas ceļu tikpat rūpīgi kā pieteikšanos.

Pēc tam skaidri sakiet, vai izvietojums ir daudzfaktoru saskaņā ar šo definīciju. „Divas paroles un mašīnas sertifikāts” ir godīgs teikums, un tas lasītājam pasaka daudz vairāk nekā ķeksītis, kas saka jā.