त्याच लॅपटॉपवरील TOTP खरंच दुसरा घटक आहे का?
VPN लॅपटॉपवरील कोड जनरेटर हा त्याच तडजोड सीमेच्या आत बसणारा ताबा घटक आहे। प्रथम बीज आणि सत्राचा मागोवा घ्या।
अशा VPN क्लायंटमध्ये साइन इन करा जो प्रथम पासवर्ड आणि नंतर सहा अंकांचा कोड मागतो, आणि दोन विनंत्या दोन स्वतंत्र अडथळ्यांसारख्या वाटतात। घटकाच्या प्रकाराने मोजले तर ते तसेच आहेत: पासवर्ड हे आपल्याला माहीत असलेले, कोड हे आपल्याकडे असलेले। एका तडजोड झालेल्या लॅपटॉपने काय उघड होते याने मोजले तर ते एका सीमेत कोसळू शकतात, कारण आपल्याकडे असलेली गोष्ट म्हणजे आपण टाइप करत असलेल्या मशीनवरील फाइल। या दोन मोजण्यांमधील फरक हाच या आढाव्याचा विषय आहे।
पासवर्ड फील्डपासून कोड बॉक्सपर्यंत एक लॉगिनचा मागोवा घ्या
लेबल नाही, क्रम पहा। क्लायंट पासवर्ड पाठवतो, सर्व्हर दुसरा पुरावा आवश्यक असल्याचे उत्तर देतो, आणि क्लायंट सहा किंवा आठ अंकांसाठी फील्ड उघडतो। त्या फील्डमागे सामायिक रहस्य आणि घड्याळ असलेले जनरेटर अॅप्लिकेशन असते। ते रहस्य आणि सध्याच्या वेळेच्या पायरीवरून मूल्य मोजते, आणि सर्व्हर रहस्याच्या स्वतःच्या प्रतीवरून तेच मूल्य पुन्हा मोजतो।
दोन्ही बाजूंकडे तीच की-सामग्री असते। कोडला रहस्य म्हणताना लोक जे विसरतात ती हीच सममिती: पुरवठादारही आपले कोड तयार करू शकतो, म्हणूनच बीज कोणत्याही एका आउटपुटपेक्षा मौल्यवान आहे। गळलेला कोड एकवेळचे मूल्य आहे; तो तयार करणारे बीज हे कायमचे ओळखपत्र आहे जे बदलले जाईपर्यंत वैध मूल्ये तयार करत राहते।
सक्रियकरण हा प्रवाहाचा दुसरा अर्धा भाग आहे। डिव्हाइस पासकोड, बायोमेट्रिक विनंती किंवा एन्क्रिप्टेड कंटेनरने उघडणारे जनरेटर ताब्याचा पुरावा आणि अजून काही सादर करते। एन्क्रिप्शनशिवाय चालणारे आणि ऑपरेटिंग सिस्टम सत्राने उघडणारे फक्त फाइल सादर करते। तेच अॅप्लिकेशन नोंदणी कशी झाली यानुसार दोन्ही रचना देऊ शकते, म्हणून तैनातीचा निर्णय त्या टप्प्यात असतो, अॅपच्या विपणन पानावर नाही।
कोड प्रत्यक्षात काय सिद्ध करतो ते ठरवा
मानकांची भाषा येथे असामान्यपणे स्पष्ट आहे, आणि ती थेट वाचण्यासारखी आहे। NIST ची प्रमाणक मार्गदर्शक तत्त्वे सॉफ्टवेअर-आधारित OTP जनरेटरची प्रमाणक म्हणून यादी करतात, सक्रियकरण घटक असलेल्या बहु-घटक OTP पेक्षा एक-घटक OTP वेगळे करतात, आणि OTP प्रमाणीकरण फिशिंग-प्रतिरोधक नाही असे सांगतात। या तीनही कलमांपैकी प्रत्येक विनंतीबद्दल आपण काय दावा करू शकता ते बदलते।
फिशिंग-प्रतिरोधक नसणे ही सर्वात तीक्ष्ण धार आहे। फील्डमध्ये टाइप केलेला कोड दुसऱ्याच्या फील्डमध्ये, प्रत्यक्ष वेळेत, तसे करण्यास प्रवृत्त झालेल्या व्यक्तीकडून टाइप केला जाऊ शकतो। खिडकी लहान आहे, त्यामुळे उपयुक्त प्रयत्नांची संख्या कमी होते पण तंत्र बंद होत नाही। आपल्या आवश्यकतेत त्याला प्रतिकार समाविष्ट असल्यास, जनरेटर कुठेही चालला तरी OTP चुकीचे प्राथमिक आहे।
एक-घटक विरुद्ध बहु-घटक हा दुसरा भेद आहे। सक्रियकरण पायरीशिवाय दिसणारा कोड फाइलवरील ताबा सिद्ध करतो आणि दुसरे काही नाही, आणि फाइल ती वाचू शकणाऱ्या खात्याइतकीच मजबूत असते। सक्रियकरण घटक जोडल्यास दावा सुधारतो, तरीही तो लॉगिनला सादर केलेल्या पुराव्याचे वर्णन करतो, तो तयार करणाऱ्या मशीनच्या विलगीकरणाचे नाही।
तडजोड झालेला लॅपटॉप किती दूर पोहोचू शकतो ते पहा
वर्कस्टेशनवर कोड चालवण्याची क्षमता असलेला हल्लेखोर आपण टाइप करत असलेले फील्ड वाचण्यापुरता मर्यादित नाही। यशस्वी लॉगिननंतर स्थापित होणारे सत्र सामान्यतः टोकन किंवा कुकी असते, आणि टोकन कोणत्याही कोडशिवाय दुसऱ्या मशीनवरून वापरता येते। हीच ती क्षमता आपण ज्याविरुद्ध बचाव करत आहात असेल, तर लॉगिनला दुसरी विनंती जोडणे हल्ल्यातील पायऱ्यांची संख्या बदलते, परिणाम नाही।
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
तिसऱ्या स्तंभाला प्रामाणिक स्तंभ म्हणून वाचा। वरील प्रत्येक रचना वर्कस्टेशनच्या विश्वास सीमेआत काहीतरी सोडते, कारण सत्र तिथेच वापरले जाते। जे बदलते ते म्हणजे दीर्घकालीन रहस्य त्या सीमेसोबत प्रवास करते की बाहेर राहते, आणि पुरावा विशिष्ट उगमाशी बद्ध आहे की नाही जेणेकरून नकली पान तो पुढे पाठवू शकणार नाही।
दोन लहान तपशील त्याच चित्राचे आहेत। कोड त्याच्या स्वीकृती खिडकीभर वैध राहतो, बऱ्याचदा तीस सेकंद अधिक घड्याळाच्या विचलनासाठी सहिष्णुता, त्यामुळे पकडलेले मूल्य त्या खिडकीत पुन्हा चालवता येते, जर पडताळणीकर्त्याने पुनर्वापर नाकारला नाही तर। आणि नवीन जनरेटर स्थापित केल्याने आधीच प्रमाणित झालेली सत्रे संपत नाहीत, म्हणून जुने सत्र घटना आवर घालायची होती त्या ओळखपत्र बदलापेक्षा जास्त काळ टिकते।
जनरेटर फक्त तिथे हलवा जिथे विभाजन मदत करते
कोड जनरेटर फोनवर ठेवणे हे एका विशिष्ट अपयशासाठी खरे सुधारणा आहे: चोरलेला लॅपटॉप आता दोन्ही पुरावे घेऊन जात नाही। पण लॅपटॉपवरील सत्र-अपहारासाठी ते काहीही करत नाही, फिशिंग पानात कोड टाइप करणाऱ्या वापरकर्त्यासाठी काहीही करत नाही, आणि एकदा छापून नोट्स अॅपमध्ये फोटो काढलेल्या पुनर्प्राप्ती कोडसाठीही काहीही करत नाही।
म्हणून साधन निवडण्यापूर्वी आवश्यकता लिहा। लक्ष्य गळलेल्या पासवर्डविरुद्ध अतिरिक्त पुरावा असेल, तर ते स्पष्ट सांगा, आणि त्याच डिव्हाइसवरील अॅप तो आधीच देतो। लक्ष्य VPN वर्कस्टेशनच्या तडजोडीविरुद्ध लवचिकता असेल, तर त्या हल्लेखोर-क्षमतेचे नाव घ्या आणि त्यासाठी मूल्यांकन केलेली रचना निवडा, आणि फिशिंग आवश्यकता गृहीत धरण्याऐवजी स्वतंत्रपणे नमूद करा।
मग कार्यात्मक अर्धा भाग हाताळा, जो यापैकी काही घटनेच्या संपर्कात टिकते की नाही हे ठरवतो। डिव्हाइस हरवल्यास दस्तऐवजीकृत बदली मार्ग आवश्यक आहे, ओळखपत्र फिरवण्यासाठी सक्रिय सत्रे रद्द करणे आवश्यक आहे, आणि नोंदणी सामग्रीला बीजाइतकेच संरक्षण आवश्यक आहे, कारण असुरक्षित नोंदणी प्रत हल्लेखोराला तेच भविष्यातील कोड लहान मार्गाने देते। हे चार मुद्दे मोजणे त्याच डिव्हाइसवरील टोकन चांगले की निरुपयोगी या वादापेक्षा अधिक उपयुक्त आहे।