Две барања за лозинка не се MFA: што проверува најавувањето во VPN

Страницата за најава бара лозинка, потоа втора тајна, и распоредувањето веднаш се опишува како повеќефакторско. Понекогаш е така. Често е еден фактор собран двапати, бидејќи двете вредности се знаења што истиот човек ги внел од истото сеќавање или од истата белешка. Силната шифра на тунелот тоа не го менува, ниту зборот „безбеден“ во името на производот.

Одвојувањето на тврдењето од механизмот бара едно прашање: што докажува секој чекор и пред кого?

Факторот е доказ, не поле

Повеќефакторската автентикација значи дека за истата сметка се проверува повеќе од еден различен вид доказ: нешто што корисникот го знае, нешто што го поседува, нешто што е. Две полиња што и двете собираат запаметена низа се еден вид доказ побарано двапати. Тоа може да биде корисна контрола, бидејќи две независни тајни се погодуваат потешко од една, но тоа не е она што терминот го опишува и не треба така да се смета во проценка на ризик.

Страната на проверка е исто толку важна како страната на собирање. Код генериран на уред го докажува надзорот над тој уред само ако серверот го проверува спрема тајна врзана за оваа сметка и ги одбива повторувањата. Споделен код што работи за сите, код без ограничување на обиди или барање одобрено на уред што никогаш не покажува што се одобрува се сите послаби отколку што навестува етикетата.

Затоа кога некој прашува дали VPN има MFA, прашајте што докажува вториот чекор и како серверот го врзува. Ако одговорот е „втора лозинка од истиот директориум“, имате еден фактор и разговор за политиката, а не втор фактор.

Случајот со сертификатот треба да се чита, а не да се претпоставува

Клиентски сертификат плус лозинка изгледа како два фактори и може да е така: сертификатот се чува во складиште или на токен, а лозинката се памти. Може да е и еден, ако датотеката на сертификатот лежи незаштитена во истата профилна папка како зачуваната лозинка или ако сертификатот е издаден на уред што повеќе луѓе го делат без индивидуална одговорност.

Прашањето што треба да се реши е кого или што идентификува сертификатот. Сертификат на уред докажува дека е присутна управувана машина. Кориснички сертификат докажува идентитет. Ако распоредувањето издава по еден сертификат на преносен сметач и потоа го третира неговото присуство како доказ за лицето, вториот фактор тивко станал својство на хардверот што го наследува секој што го држи преносниот сметач.

Ништо од тоа не ги прави сертификатите лоша идеја. Тоа ја прави разликата меѓу гаранцијата за уредот и гаранцијата за корисникот достојна за запишување, бидејќи двете одговараат на различни прашања, а табелата за усогласеност што ги брои како едно ќе го прецени она што е заштитено.

Довербата во портата и довербата во корисникот се одделни проблеми

Вториот фактор не прави безбедно внесување на акредитиви во крајна точка што не сте ја провериле. Клиентот мора да ја препознае предвидената порта, а за тоа служат сертификатот на серверот и конфигурацијата за доверба на клиентот. Фишингот работи со преместување на најавата на сервер што напаѓачот го контролира, а правилниот еднократен код внесен таму едноставно се проследува до вистинската услуга во реално време.

Затоа изборот на методот го менува исходот повеќе од формулацијата на барањето. Кодовите што ги внесува човек можат да ги проследи секој што може да покаже уверлива страница, додека криптографските методи што автентикацијата ја врзуваат за конкретното потекло и сесијата му се спротивставуваат на тоа проследување по дизајн. Кое од двете го имате е својство на методот, а не на бројот на чекори во дијалогот.

Следете го поддржаниот ред на регистрација и клиентски тек на добавувачот, наместо да прицврстувате дополнително барање на поле за лозинка. Домашно изработениот втор чекор обично слетува некаде помеѓу, додавајќи триење без врзувањето што го прави факторот смислен.

Враќањето е втората влезна врата

Секоја силна најава има пат назад кога автентикаторот ќе се загуби, и токму тој пат обично е најслабото место во дизајнот. Ако агент за поддршка може да го ресетира вториот фактор по телефонски повик на број во евиденцијата, најевтиниот пат за напаѓачот е службата за поддршка, а не страницата за најава.

Прашајте како функционира замената, кој ја одобрува и какви докази бараат. Потоа проверете дека материјалот за враќање, како резервни кодови, се чува одделно од примарниот акредитив, за еден компромис да не ги предаде двете. Насоките на NIST за дигитален идентитет го третираат врзувањето на верификаторот и животниот циклус на автентикаторот како дел од барањето, а не како оперативна задоцнета мисла.

Што да напишете во проценката

Опишете ги факторите по вид, наведете што докажува секој и наведете како е врзан за сметката. Забележете дали методот му се спротивставува на проследувањето и опишете го патот за враќање со истото внимание како најавата.

Потоа кажете јасно дали распоредувањето е повеќефакторско според таа дефиниција. „Две лозинки и сертификат на машина“ е чесна реченица и му кажува на читателот многу повеќе од квадратче што вели да.