Нэг л зөөврийн компьютер дээрх TOTP үнэхээр хоёр дахь хүчин зүйл мөн үү?
VPN зөөврийн компьютер дээрх код үүсгэгч нь ижил эвдрэлийн хил дотор байрлах эзэмшлийн хүчин зүйл юм. Эхлээд үр, сессийг мөрдөөрэй.
Эхлээд нууц үг, дараа нь зургаан оронтой код шаарддаг VPN клиентэд нэвтэрвэл хоёр асуулт хоёр бие даасан саад мэт харагдана. Хүчин зүйлийн төрлөөр тоолбол тэдгээр нь тийм: нууц үг бол таны мэддэг зүйл, код бол таны эзэмшдэг зүйл. Нэг эвдэрсэн зөөврийн компьютер юу илчилдгийг тоолбол тэд нэг хил болж нуран унаж болно, учир нь таны эзэмшдэг зүйл бол таны бичиж байгаа машины файл юм. Энэ хоёр тооллогын хоорондын зөрүү энэхүү тоймын сэдэв юм.
Нууц үгийн талбараас кодын талбар хүртэл нэг нэвтрэлтийг мөрдөөрэй
Шошгыг биш, дарааллыг ажиглаарай. Клиент нууц үг илгээж, сервер хоёр дахь нотолгоо шаардлагатай гэж хариулж, клиент зургаа эсвэл найман оронтой талбар нээнэ. Тэр талбарын ард хуваалцсан нууц, цаг хадгалдаг үүсгэгч апп байна. Энэ нь нууц болон одоогийн цагийн алхамаас утга бодож, сервер нууцынхаа хуулбараас мөн адил утгыг дахин бодно.
Хоёр тал ижил түлхүүрийн материалыг хадгалдаг. Кодыг нууц гэж дүрслэх үед хүмүүсийн алддаг хэсэг нь энэ тэгш хэм юм: нийлүүлэгч таны кодуудыг ч үүсгэж чаддаг тул үр нь аль ч ганц гаралтаас илүү үнэ цэнэтэй. Алдагдсан код бол нэг удаагийн утга; үүсгэсэн үр нь солигдох хүртэл хүчинтэй утга үүсгэсээр байдаг байнгын итгэмжлэл юм.
Идэвхжүүлэлт бол урсгалын нөгөө хагас. Төхөөрөмжийн нууц код, биометрийн хүсэлт эсвэл шифрлэгдсэн савлагаагаар онгойдог үүсгэгч нь эзэмшлийн нотолгоо болон өөр зүйлийг танилцуулдаг. Шифрлэлтгүй ажиллаж, үйлдлийн системийн сессээр онгойдог нь зөвхөн файлыг танилцуулдаг. Ижил апп бүртгэл хэрхэн хийгдсэнээс хамаарч хоёр зохион байгуулалтыг ч санал болгож болох тул байршуулалтын шийдвэр тэр алхам дээр байна, аппын маркетингийн хуудсанд биш.
Код үнэхээр юу нотолж байгааг шийдээрэй
Стандартуудын хэл энд ер бусын тодорхой бөгөөд шууд унших нь зүйтэй. NIST-ийн баталгаажуулагчийн удирдамж програм хангамжийн OTP үүсгэгчийг баталгаажуулагч гэж жагсааж, идэвхжүүлэх хүчин зүйл бүхий олон хүчин зүйлийн OTP-г нэг хүчин зүйлийн OTP-ээс ялгаж, OTP баталгаажуулалт фишингд тэсвэртэй бус гэж мэдэгддэг. Эдгээр гурван зүйл тус бүр асуултын талаар та юу гэж баталж болохыг өөрчилдөг.
Фишингд тэсвэргүй байх нь хамгийн хурц ирмэг. Талбарт бичсэн кодыг өөр хүний талбарт, бодит цагт, үүнийг хийхийг ятгасан хүнээр бичиж болно. Цонх богино бөгөөд энэ нь ашигтай оролдлогын тоог цөөлдөг ч арга барилыг хаадаггүй. Хэрэв таны шаардлага түүнд тэсвэрлэхийг багтаасан бол үүсгэгч хаана ажилласан ч OTP буруу примитив юм.
Нэг хүчин зүйл олон хүчин зүйлийн эсрэг нь хоёр дахь ялгаа. Идэвхжүүлэх алхамгүйгээр гарч ирэх код нь файлын эзэмшлийг нотолдог, өөр юу ч биш, файл нь түүнийг уншиж чадах бүртгэл шиг л бат бөх. Идэвхжүүлэх хүчин зүйл нэмэхэд мэдэгдэл сайжирдаг, гэхдээ энэ нь нэвтрэх үед танилцуулсан нотолгоог дүрсэлсээр байна, түүнийг үүсгэж буй машины тусгаарлалтыг биш.
Эвдэрсэн зөөврийн компьютер хаа хүрч чадахыг хараарай
Ажлын станцад код гүйцэтгэх боломжтой дайсан таны бичиж буй талбарыг уншихаар хязгаарлагдахгүй. Амжилттай нэвтрэлтийн дараа тогтоогдсон сесс нь ихэвчлэн токен эсвэл күүки байдаг бөгөөд токеныг өөр машинаас ямар ч кодгүйгээр ашиглаж болно. Хэрэв энэ нь таны хамгаалж буй чадвар бол нэвтрэх үед хоёр дахь асуулт нэмэх нь халдлагын алхмын тоог өөрчилдөг, үр дүнг биш.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Гурав дахь баганыг шударга гэж уншаарай. Дээрх зохион байгуулалт бүр ажлын станцын итгэлийн хил дотор ямар нэг зүйлийг үлдээдэг, учир нь сесс тэнд ашиглагддаг. Өөрчлөгдөх нь урт хугацааны нууц тэр хилтэй хамт аялах уу эсвэл гадна үлдэх үү, нотолгоо тодорхой гарал үүсэлтэй холбогдсон эсэх, ингэснээр дуурайсан хуудас үүнийг дамжуулж чадахгүй.
Хоёр жижиг дэлгэрэнгүй мэдээлэл нэг зурагт хамаарна. Код нь хүлээн авах цонхныхоо турш хүчинтэй байдаг, ихэвчлэн гуч секунд нэмээд цагийн хазайлтын хүлцэл байх тул баригдсан утгыг тэр цонхны дотор дахин тоглуулж болно, хэрэв шалгагч дахин ашиглахаас татгалзахгүй бол. Мөн шинэ үүсгэгч суулгах нь аль хэдийн баталгаажсан сессийг зогсоодоггүй тул хуучин сесс ослыг хязгаарлах ёстой байсан итгэмжлэлийн өөрчлөлтөөс илүү удаан амьдардаг.
Үүсгэгчийг зөвхөн тусгаарлалт тусалдаг газар зөөгөөрэй
Код үүсгэгчийг утсан дээр тавих нь нэг тодорхой алдаанд бодит сайжруулалт: хулгайлагдсан зөөврийн компьютер хоёр нотолгоог хамт авч явахаа болино. Гэхдээ зөөврийн компьютер дээрх сессийг булахад юу ч хийдэггүй, фишинг хуудсанд код бичиж буй хэрэглэгчид ч, нэг удаа хэвлэгдэж тэмдэглэлийн апп руу зураглагдсан сэргээх кодуудад ч юу ч хийдэггүй.
Тиймээс хэрэгслийг сонгохын өмнө шаардлагыг бичээрэй. Зорилго нь алдагдсан нууц үгийн эсрэг нэмэлт нотолгоо бол үүнийг шууд хэлээрэй, мөн ижил төхөөрөмж дээрх апп үүнийг аль хэдийн өгдөг. Зорилго нь VPN ажлын станцын эвдрэлд тэсвэрлэх чадвар бол тэр дайсны чадварыг нэрлэж, түүнд үнэлэгдсэн зохион байгуулалтыг сонго, фишинг шаардлагыг таамаглахгүйгээр тусдаа дурдаарай.
Дараа нь үйл ажиллагааны хагасыг авч үзээрэй, энэ нь эдгээрийн аль нэг нь осолтой харьцахдаа амьд үлдэх эсэхийг шийддэг. Төхөөрөмж алдагдахад баримтжуулсан солих зам хэрэгтэй, итгэмжлэлийн эргэлтэд идэвхтэй сессийг цуцлах хэрэгтэй, бүртгэлийн материалд үртэй ижил хамгаалалт хэрэгтэй, учир нь хамгаалалтгүй бүртгэлийн хуулбар нь дайсанд мөн адил ирээдүйн кодуудыг богино замаар өгдөг. Эдгээр дөрвөн зүйлийг жагсаах нь ижил төхөөрөмжийн токен сайн уу, үнэ цэнэгүй юу гэж маргахаас илүү ашигтай.