दोन पासवर्ड विनंत्या MFA नाहीत: VPN लॉगिन काय पडताळते

लॉगिन पृष्ठ आधी पासवर्ड मागते, नंतर दुसरे रहस्य, आणि तैनातीला लगेच बहुघटक म्हटले जाते. कधीकधी तसे खरे असते. बऱ्याचदा हा एकच घटक दोनदा गोळा केलेला असतो, कारण दोन्ही मूल्ये तीच माहिती आहेत जी त्याच व्यक्तीने त्याच स्मृतीतून किंवा त्याच टिपातून टाइप केली. मजबूत टनेल सिफर हे बदलत नाही, आणि उत्पादनाच्या नावातील „सुरक्षित“ हा शब्दही नाही.

दावा यंत्रणेपासून वेगळा करण्यासाठी एकच प्रश्न लागतो: प्रत्येक टप्पा काय आणि कोणासमोर सिद्ध करतो?

घटक हा पुरावा आहे, क्षेत्र नाही

बहुघटक प्रमाणीकरणाचा अर्थ असा की त्याच खात्यासाठी एकापेक्षा जास्त वेगळ्या प्रकारचे पुरावे तपासले जातात: काहीतरी जे वापरकर्त्याला माहीत आहे, काहीतरी जे त्याच्याकडे आहे, काहीतरी जे तो आहे. दोन क्षेत्रे जी दोन्ही एक लक्षात ठेवलेली मालिका गोळा करतात ते एकच प्रकारचे पुरावे आहेत जे दोनदा मागितले जाते. हे उपयुक्त नियंत्रण असू शकते, कारण दोन स्वतंत्र रहस्यांचा अंदाज लावणे एकापेक्षा कठीण आहे, पण हे ते नाही जे संज्ञा वर्णन करते आणि जोखीम मूल्यांकनात ते असे मोजले जाऊ नये.

पडताळणीची बाजू संकलनाच्या बाजूइतकीच महत्त्वाची आहे. डिव्हाइसवर तयार केलेला कोड त्या डिव्हाइसवरील नियंत्रण तेव्हाच सिद्ध करतो जेव्हा सर्व्हर तो या खात्याशी जोडलेल्या रहस्याशी ताडून पाहतो आणि पुनरावृत्ती नाकारतो. सर्वांसाठी चालणारा सामायिक कोड, मर्यादेशिवाय कोड, किंवा अशा डिव्हाइसवर मंजूर केलेली विनंती जी कधीही दाखवत नाही की काय मंजूर होत आहे — हे सर्व लेबलच्या संकेतापेक्षा कमकुवत आहेत.

म्हणून जेव्हा कोणी विचारे की VPN मध्ये MFA आहे का, तेव्हा विचारा की दुसरा टप्पा काय सिद्ध करतो आणि सर्व्हर तो कसा जोडतो. जर उत्तर „त्याच निर्देशिकेतील दुसरा पासवर्ड“ असेल, तर तुमच्याकडे एक घटक आणि धोरणाबद्दल संभाषण आहे, दुसरा घटक नाही.

प्रमाणपत्राची बाब वाचायची, गृहीत धरायची नाही

क्लायंट प्रमाणपत्र आणि पासवर्ड दोन घटक वाटतात, आणि तसे असूही शकते: प्रमाणपत्र भांडारात किंवा टोकनवर ठेवले जाते, आणि पासवर्ड लक्षात ठेवला जातो. ते एकही असू शकते, जर प्रमाणपत्र फाइल साठवलेल्या पासवर्डसह त्याच प्रोफाइल निर्देशिकेत असुरक्षित पडली असेल, किंवा प्रमाणपत्र अशा डिव्हाइसला दिले गेले असेल जे अनेक लोक वैयक्तिक जबाबदारीशिवाय सामायिक करतात.

ठरवायचा प्रश्न असा आहे की प्रमाणपत्र कोणाची किंवा कशाची ओळख करते. डिव्हाइस प्रमाणपत्र सिद्ध करते की व्यवस्थापित यंत्र उपस्थित आहे. वापरकर्ता प्रमाणपत्र ओळख सिद्ध करते. जर तैनाती प्रत्येक लॅपटॉपसाठी एक प्रमाणपत्र देते आणि नंतर त्याची उपस्थिती व्यक्तीचा पुरावा मानते, तर दुसरा घटक शांतपणे अशा हार्डवेअरचा गुणधर्म बनला आहे जो लॅपटॉप धरलेला प्रत्येकजण वारसाहक्काने घेतो.

यातील काहीही प्रमाणपत्रांना वाईट कल्पना करत नाही. यामुळे डिव्हाइस आश्वासन आणि वापरकर्ता आश्वासन यातील फरक लिहिण्यासारखा होतो, कारण दोन्ही वेगळ्या प्रश्नांची उत्तरे देतात आणि जी अनुपालन पत्रक त्यांना एक म्हणून मोजते ती काय संरक्षित आहे याचा अतिरेक करेल.

गेटवेवरील विश्वास आणि वापरकर्त्यावरील विश्वास वेगळ्या समस्या आहेत

दुसरा घटक अशा एंडपॉइंटमध्ये क्रेडेन्शियल लिहिणे सुरक्षित करत नाही ज्याची तुम्ही पडताळणी केली नाही. क्लायंटला इच्छित गेटवे ओळखावा लागतो, आणि त्यासाठी सर्व्हर प्रमाणपत्र आणि क्लायंटचे विश्वास संरचना आहेत. फिशिंग लॉगिन अशा सर्व्हरवर हलवून काम करते जो हल्लेखोर नियंत्रित करतो, आणि तिथे टाकलेला बरोबर एकवेळ कोड खऱ्या वेळेत खऱ्या सेवेकडे फक्त पुढे पाठवला जातो.

म्हणून पद्धतीची निवड विनंतीच्या शब्दांपेक्षा जास्त निकाल बदलते. एखाद्या व्यक्तीने टाइप केलेला कोड जो कोणी विश्वासार्ह पृष्ठ दाखवू शकतो तो पुढे पाठवू शकतो, तर प्रमाणीकरण विशिष्ट उगम आणि सत्राशी जोडणाऱ्या क्रिप्टोग्राफिक पद्धती आपल्या रचनेमुळे या अग्रेषणाला प्रतिकार करतात. तुमच्याकडे यापैकी कोणती आहे हे पद्धतीचे वैशिष्ट्य आहे, संवादातील टप्प्यांची संख्या नाही.

पुरवठादाराच्या समर्थित नोंदणी आणि क्लायंट प्रवाहाचे पालन करा, पासवर्ड क्षेत्रावर जादा विनंती लावण्याऐवजी. घरगुती दुसरा टप्पा सहसा मध्ये कुठेतरी उतरतो आणि घटकाला अर्थ देणाऱ्या बंधनाशिवाय घर्षण वाढवतो.

पुनर्प्राप्ती हा दुसरा पुढचा दरवाजा आहे

प्रत्येक मजबूत लॉगिनला प्रमाणक हरवल्यावर परतीचा मार्ग असतो, आणि हाच मार्ग सहसा रचनेतील सर्वात कमकुवत बिंदू असतो. जर सहाय्य एजंट नोंदवलेल्या क्रमांकावर कॉल केल्यानंतर दुसरा घटक रीसेट करू शकतो, तर हल्लेखोरासाठी सर्वात स्वस्त मार्ग लॉगिन पृष्ठ नाही, सहाय्य डेस्क आहे.

विचारा की बदली कशी होते, कोण मंजूर करते आणि कोणते पुरावे मागतात. नंतर तपासा की बॅकअप कोडसारखी पुनर्प्राप्ती सामग्री प्राथमिक क्रेडेन्शियलपासून वेगळी ठेवली जाते, जेणेकरून एक उल्लंघन दोन्ही देऊ नये. NIST च्या डिजिटल ओळख मार्गदर्शक तत्त्वे पडताळणीकर्त्याचे बंधन आणि प्रमाणकाचे जीवनचक्र आवश्यकतेचा भाग मानतात, नंतरचा कार्यवाही संबंधी विचार नाही.

मूल्यांकनात काय लिहावे

घटक प्रकारानुसार वर्णन करा, प्रत्येक काय सिद्ध करतो ते नावाने सांगा आणि तो खात्याशी कसा जोडलेला आहे ते नमूद करा. पद्धत अग्रेषणाला प्रतिकार करते का ते नोंदवा, आणि पुनर्प्राप्ती मार्गाचे वर्णन लॉगिनइतक्याच काळजीने करा.

मग तैनाती त्या व्याख्येनुसार बहुघटक आहे का ते स्पष्ट सांगा. „दोन पासवर्ड आणि एक मशीन प्रमाणपत्र“ हे प्रामाणिक वाक्य आहे, आणि ते वाचकाला „होय“ म्हणणाऱ्या चेकबॉक्सपेक्षा कितीतरी जास्त सांगते.