VPN-ийн MFA хүсэлт татгалзагдлаа: клиент юу хийх ёстой

Татгалзсан MFA хүсэлт сүлжээний асуудал мэт харагдах боловч тийм биш. Сервер хоёр дахь хүчин зүйлийг шаардсан, хүчин зүйл нь сөрөг буцаж ирсэн эсвэл огт ирээгүй, сессийг ямар ч туннель үүсэхээс өмнө татгалзсан. Үүний дараа юу болох нь клиентийн зан төлөвийн асуудал: алдааг харуулж хэрэглэгчид цэвэр оролдлого эхлүүлэх боломж өгөх, эсвэл илүү олон хүсэлт үүсгэж эцэст нь бүртгэлийн хамгаалалтыг идэвхжүүлдэг аргаар давтах. Хоёр дахь зам нь нэг буруу бичсэн код хэрхэн түгжигдсэн бүртгэл болох зам юм.

Аль хүсэлт бүтэлгүй болсныг шалгаарай

Аль хүсэлт бүтэлгүй болсныг тодорхойлж эхэл. Push мэдэгдэл, TOTP код, FIDO баталгаа, SAML урсгал тус бүр өөр өөрөөр бүтэлгүй болдог бөгөөд клиент ихэвчлэн алийг нь хүссэнээ мэддэг. Татгалзал, хугацаа дууссан сорилт, төхөөрөмжид хэзээ ч хүрээгүй хүргэлтийн алдаа бүгд ижил ерөнхий алдаагаар төгсдөг тул ялгаа нь ихэвчлэн клиентийн өөрийн төлөвт л үлддэг.

Энэ төлөвийг нарийн бүртгэх нь зүйтэй. Сорилтын танигч эсвэл гүйлгээний лавлагаа, хүчин зүйлийн төрөл, цагийн тэмдэг, үр дүнг бүртгэ, гэхдээ код эсвэл баталгааг хэзээ ч бүртгэж болохгүй. Сорилтын танигч нь админд тухайн үйл явдлыг таних үйлчилгээ үзүүлэгчийн талаас олох боломж олгодог зүйл; үүнгүйгээр дэмжлэгийн яриа «сүүлийн нэг цагт хаа нэгтээ» гэж эхэлж, ихэвчлэн тэнд дуусдаг. Үүнийг нууц биш, оношилгооны мета өгөгдөл гэж үзээрэй.

Шинэ сорилттойгоор нэг удаа, санаатайгаар дахин оролдоорой

Дахин оролдлого нь шинэ сорилт бүхий шинэ оролдлого байх ёстой, хуучин оролдлогыг дахин тоглуулах биш. Клиент өмнөх сорилтыг дахин ашиглах үед таних үйлчилгээ үзүүлэгч үүнийг хуучирсан гэж татгалзах эсвэл, илүү муу нь, өмнөх оролдлогод зориулсан зөвшөөрлийг хүлээн авдаг. Шинэ сорилт хүсэж, үүнийг харуулж, хэрэглэгчийг яг одоо дэлгэцэн дээр байгаа сорилт дээр ажиллах боломж өгөөрэй.

Хоорондоо богино завсарлагатай хоёр оролдлого нь боломжийн өгөгдмөл; хязгааргүй цикл биш. Хоёр дахь оролдлого мөн адил бүтэлгүй болвол үргэлжлүүлэхийн оронд зогсоож мэдэгдээрэй.

Клиент юу хийх ёсгүй вэ

Клиент тус боломжтой мэт харагдах боловч тийм биш хэд хэдэн зүйлийг хийх ёсгүй. Хэн нэгэн «зөвшөөрөх» товчийг дарах хүртэл push мэдэгдэл илгээсээр байх ёсгүй, учир нь энэ нь хэрэглэгчдийг өөрсдийн эхлүүлээгүй хүсэлтийг зөвшөөрөх дадалд хүргэдэг бөгөөд фишинг багцууд яг энэ зан төлөвт тулгуурладаг. Хүчтэй хүчин зүйл бүтэлгүй болсон тул сул хүчин зүйл руу буцах ёсгүй бөгөөд нэгэн зэрэг гарч ирсэн сертификатын гомдлыг тойрохын тулд серверийн таних шалгалтыг унтраах ёсгүй. Эдгээр гурван богино замын аль нэг нь баталгаажуулалтын алдааг аюулгүй байдлын хэрэг болгоно.

Алдааг чимээгүй залгих ёсгүй. Холболтыг хааж эргэлдэх заагч харуулсан клиент хэрэглэгчийг дахин оролдох, хүлээх эсвэл дэмжлэг дуудах эсэхийг мэдэхгүй орхидог. Алдааг хүчин зүйлийн төрөл, богино кодтой харуулж, мессежийг нууцаас ангид байлгаж, дахин оролдлогын үйлдлийг автоматаас илүү тодорхой болгоорой.

Хүсэлтийг гар дээрх хүн эхлүүлээгүй бол зөв үйлдэл нь түүнийг татгалзсан хэвээр үлдээж, баталгаажсан дэмжлэгийн замаар мэдэгдэх юм. Чимээг зогсоохын тулд хүсэлтийг зөвшөөрөх нь бүтэлгүйтлийн загвар, шийдэл биш.

Дэмжлэгт юу бүртгэх вэ

Дэмжлэгт хэрэгтэй бүртгэл бага. Цагийн бүстэй ойролцоо цаг, бүртгэл, клиент ба хувилбар, хүчин зүйлийн төрөл, оролдлого бүрийн нууц бус төлөв: хүссэн, татгалзсан, хугацаа дууссан, зөвшөөрсөн боловч бодлогоор татгалзсан.

Клиент болон серверийн цагийг ч анхаараарай. TOTP нь цагийн цонхны шалгалт тул цаг нь шилжсэн төхөөрөмж хүчинтэй мэт кодууд үүсгэдэг бөгөөд тэдгээр нь бүр удаа бүтэлгүй болдог, шилжилтийг дурдалгүй хүчингүй код мэдэгдсэн клиент хүмүүсийг хэзээ ч буруу байгаагүй итгэмжлэлүүдийг дахин тохируулахаар илгээдэг. Нэвтрэлт нь давтан бүтэлгүй болсон хэрэглэгч илүү олон хүсэлт үүсгэхээс өмнө дэмжигдсэн клиентийн хувилбар, бүртгэлийн төлөв, баримтжуулсан сэргээх урсгалыг шалгах ёстой.

Сэргээх зам нь нэвтрэх замтай адил анхаарал хандуулах ёстой. Алдсан төхөөрөмжийн ажлын урсгал нь татгалзал баталгаажуулалтыг тойрох зөвшөөрөл болохгүйн тулд яг зоригдож оршино, клиент өөрөө зохиохын оронд байгууллагын баримтжуулсан процесст холбоос өгөх ёстой.

Баримтлах ёстой дүрэм: татгалзал бол үр дүн, саад биш. Нэг удаа, тодорхой, үйлдэл хийхэд хангалттай контексттой мэдэгдэж, дараагийн оролдлого шинэ байг. CISA-гийн фишингид тэсвэртэй MFA тухай удирдамж нь «зөвшөөрөгдөх хүртэл асуух» загвар яагаад эхнээсээ аюултай болохыг тайлбарладаг бөгөөд хэн нэгэн давтан оролдлогын цикл санал болгоход иш татахад үнэ цэнэтэй эх сурвалж нь тэр юм. Клиент татгалзсаны дараа нэмж буй бүх зүйл дараагийн шийдвэрийг хүнд хөнгөвчлөх ёстой, шийдвэрийг түүнээс булаах ёсгүй.