Дали TOTP на истиот лаптоп е навистина втор фактор?

Најавете се во VPN клиент што прво бара лозинка, а потоа шестцифрен код, и двете барања изгледаат како две независни пречки. Гледано по тип на фактор, тие се: лозинката е нешто што го знаете, кодот е нешто што го поседувате. Гледано по тоа што го открива еден компромитиран лаптоп, тие можат да се срушат во една граница, бидејќи тоа што го поседувате е датотека на машината во која пишувате. Разликата меѓу тие две сметки е темата на овој преглед.

Проследете едно најавување од полето за лозинка до полето за код

Гледајте ја низата, не ознаките. Клиентот ја праќа лозинката, серверот одговара дека е потребен втор доказ, и клиентот отвора поле за шест или осум цифри. Зад тоа поле стои генераторска апликација што чува заедничка тајна и часовник. Таа пресметува вредност од тајната и тековниот временски чекор, а серверот ја пресметува истата вредност повторно од својата копија на тајната.

Двете страни чуваат ист клучен материјал. Таа симетрија е делот што луѓето го пропуштаат кога кодот го опишуваат како тајна: давателот може да ги генерира и вашите кодови, затоа семето вреди повеќе од секој поединечен излез. Кодот што протекува е еднократна вредност; семето што го создало е трајни податоци за најава што продолжуваат да произведуваат важечки вредности додека не се заменат.

Активирањето е другата половина од текот. Генератор што се отклучува со код на уредот, биометриско барање или шифриран контејнер прикажува доказ за поседување плус нешто друго. Оној што работи без шифрирање и се отклучува со сесијата на оперативниот систем прикажува само датотеката. Истата апликација може да ги нуди двете поставки зависно од тоа како е извршена регистрацијата, па одлуката за распоредување е во тој чекор, не на маркетинг страницата на апликацијата.

Одлучете што кодот навистина докажува

Јазикот на стандардите е овде необично јасен и вреди да се чита директно. Упатството на NIST за автентикатори ги наведува програмските OTP генератори како автентикатори, го разликува еднофакторскиот OTP од повеќефакторскиот OTP со фактор за активирање, и наведува дека автентикацијата со OTP не е отпорна на фишинг. Секоја од тие три одредби го менува тоа што можете да го тврдите за барањето.

Неотпорноста на фишинг е најостриот раб. Кодот внесен во поле може да се внесе во туѓо поле, во реално време, од човек што бил убеден да го направи тоа. Прозорецот е краток, што го намалува бројот на корисни обиди но не ја затвора техниката. Ако вашето барање вклучува отпор кон тоа, OTP е погрешен примитив, без оглед каде работи генераторот.

Еднофакторски наспроти повеќефакторски е второто разликување. Кодот што се појавува без чекор на активирање докажува поседување датотека и ништо друго, а датотеката е толку силна колку што е силна сметката што може да ја чита. Додајте фактор за активирање и тврдењето се подобрува, иако се уште го опишува доказот прикажан при најавата, не изолацијата на машината што го создава.

Видете до каде може да стигне компромитиран лаптоп

Напаѓач со извршување код на работната станица не е ограничен само на читање на полето во кое пишувате. Сесијата воспоставена по успешна најава обично е токен или колаче, а токенот може да се користи од друга машина сосема без код. Ако тоа е способноста од која се браните, додавањето второ барање при најавата го менува бројот на чекори во нападот, не исходот.

Прочитајте ја третата колона како искрената. Секоја поставка погоре остава нешто во границата на доверба на работната станица, бидејќи токму таму се користи сесијата. Она што се менува е дали долготрајната тајна патува со таа граница или останува надвор од неа, и дали доказот е врзан за определено потекло за да не може слична страница да го препрати.

Два помали детаљи припаѓаат на истата слика. Кодот останува важечки за својот прозорец на прифаќање, често триесет секунди плус толеранција за отстапување на часовникот, па фатената вредност може да се репродуцира во тој прозорец, освен ако проверувачот не одбие повторна употреба. И инсталирањето нов генератор не ги завршува сесиите што веќе се автентицирани, па застарената сесија ја надживува промената на податоците за најава што требало да го задржи инцидентот.

Преместете го генераторот само таму каде разделувањето помага

Ставањето на генераторот на кодови на телефон е вистинско подобрување за еден конкретен пад: украдениот лаптоп повеќе не ги носи двата докази. Но тоа не прави ништо против грабнување на сесија на лаптопот, ништо за корисник што внесува код на фишинг страница, и ништо за кодовите за враќање што еднаш биле испечатени и фотографирани во апликација за белешки.

Затоа напишете го барањето пред да го изберете алатот. Ако целта е дополнителен доказ против истечена лозинка, кажете го тоа директно, и апликацијата на истиот уред веќе го дава. Ако целта е отпорност на компромит на VPN работната станица, именувајте ја таа напаѓачка способност и изберете поставка оценета за неа, а барањето за фишинг наведете го одделно наместо да го претпоставувате.

Потоа зафатете ја оперативната половина, која одлучува дали нешто од тоа преживува средба со инцидент. Губењето на уредот бара документирана замена патека, ротацијата на податоците за најава бара отповикување на активните сесии, а материјалот за регистрација бара иста заштита како семето, бидејќи незаштитена копија од регистрацијата му ги дава на напаѓачот истите идни кодови по пократок пат. Набројувањето на тие четири ставки е покорисно од расправа дали токените на истиот уред се добри или безвредни.