Adakah TOTP pada Laptop yang Sama Benar-Benar Faktor Kedua?
Penjana kod pada laptop VPN ialah faktor pemilikan yang berada dalam sempadan kompromi yang sama. Jejaki benih dan sesi dahulu.
Log masuk ke klien VPN yang meminta kata laluan dan kemudian kod enam digit, dan dua gesaan kelihatan seperti dua penghalang bebas. Dikira mengikut jenis faktor, memang begitu: kata laluan ialah sesuatu yang anda tahu, kod ialah sesuatu yang anda miliki. Dikira mengikut apa yang didedahkan oleh satu laptop yang dikompromi, kedua-duanya boleh runtuh menjadi satu sempadan, kerana apa yang anda miliki ialah fail pada mesin yang anda taip. Jurang antara dua kiraan itulah topik tinjauan ini.
Jejaki satu log masuk dari medan kata laluan hingga kotak kod
Perhatikan urutan, bukan label. Klien menghantar kata laluan, pelayan membalas bahawa bukti kedua diperlukan, dan klien membuka medan untuk enam atau lapan digit. Di sebalik medan itu ada aplikasi penjana yang menyimpan rahsia kongsi dan jam. Ia mengira nilai daripada rahsia dan langkah masa semasa, dan pelayan mengira semula nilai yang sama daripada salinan rahsianya.
Kedua-dua pihak memegang bahan kunci yang sama. Simetri itulah bahagian yang terlepas pandang apabila orang menerangkan kod sebagai rahsia: pembekal juga boleh menjana kod anda, sebab itu benih lebih bernilai daripada mana-mana output tunggal. Kod yang bocor ialah nilai sekali guna; benih yang menghasilkannya ialah kelayakan kekal yang terus menghasilkan nilai sah sehingga ia diganti.
Pengaktifan ialah separuh lagi aliran. Penjana yang dibuka dengan kod peranti, permintaan biometrik atau bekas tersulit menyampaikan bukti pemilikan serta sesuatu yang lain. Yang berjalan tanpa penyulitan dan dibuka dengan sesi sistem pengendalian hanya menyampaikan fail. Aplikasi yang sama boleh menawarkan kedua-dua susunan bergantung pada cara pendaftaran dibuat, jadi keputusan penggunaan terletak pada langkah itu, bukan pada halaman pemasaran aplikasi.
Tentukan apa yang sebenarnya dibuktikan oleh kod
Bahasa piawaian di sini luar biasa jelas, dan wajar dibaca terus. Panduan pengesahan NIST menyenaraikan penjana OTP berasaskan perisian sebagai pengesah, membezakan OTP satu faktor daripada OTP berbilang faktor dengan faktor pengaktifan, dan menyatakan bahawa pengesahan OTP tidak tahan phishing. Setiap satu daripada tiga fasal itu mengubah apa yang boleh anda dakwa tentang gesaan tersebut.
Tidak tahan phishing ialah sisi paling tajam. Kod yang ditaip dalam satu medan boleh ditaip dalam medan orang lain, dalam masa nyata, oleh orang yang telah dipujuk untuk berbuat demikian. Tetingkapnya singkat, yang mengurangkan bilangan cubaan berguna tetapi tidak menutup teknik itu. Jika keperluan anda termasuk menahannya, OTP ialah primitif yang salah, di mana pun penjana itu berjalan.
Satu faktor berbanding berbilang faktor ialah perbezaan kedua. Kod yang muncul tanpa langkah pengaktifan membuktikan pemilikan fail dan tiada yang lain, dan fail itu hanya sekuat akaun yang boleh membacanya. Tambah faktor pengaktifan dan dakwaan bertambah baik, walaupun ia masih menerangkan bukti yang dikemukakan semasa log masuk, bukan pengasingan mesin yang menghasilkannya.
Lihat apa yang boleh dicapai oleh laptop yang dikompromi
Penyerang dengan pelaksanaan kod pada stesen kerja tidak terhad kepada membaca medan yang anda taip. Sesi yang dibentuk selepas log masuk berjaya biasanya token atau kuki, dan token boleh digunakan dari mesin lain tanpa sebarang kod. Jika itulah keupayaan yang anda pertahankan, menambah gesaan kedua semasa log masuk mengubah bilangan langkah dalam serangan, bukan hasilnya.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Baca lajur ketiga sebagai yang jujur. Setiap susunan di atas meninggalkan sesuatu dalam sempadan kepercayaan stesen kerja, kerana di situlah sesi digunakan. Yang berubah ialah sama ada rahsia jangka panjang bergerak bersama sempadan itu atau kekal di luarnya, dan sama ada bukti terikat pada asal tertentu supaya halaman tiruan tidak dapat memajukannya.
Dua perincian kecil tergolong dalam gambar yang sama. Kod kekal sah sepanjang tetingkap penerimaannya, selalunya tiga puluh saat ditambah toleransi terhadap sisihan jam, jadi nilai yang ditangkap boleh dimainkan semula dalam tetingkap itu melainkan pengesah menolak penggunaan semula. Dan memasang penjana baharu tidak menamatkan sesi yang sudah disahkan, jadi sesi lama bertahan lebih lama daripada perubahan kelayakan yang sepatutnya mengekang insiden itu.
Alihkan penjana hanya ke tempat pemisahan membantu
Meletakkan penjana kod pada telefon ialah peningkatan sebenar untuk satu kegagalan tertentu: laptop yang dicuri tidak lagi membawa kedua-dua bukti. Ia tidak berbuat apa-apa terhadap perampasan sesi pada laptop, apa-apa untuk pengguna yang menaip kod dalam halaman phishing, dan apa-apa untuk kod pemulihan yang pernah dicetak lalu difoto ke aplikasi nota.
Jadi tulis keperluan itu sebelum memilih alat. Jika matlamatnya ialah bukti tambahan terhadap kata laluan yang bocor, katakan dengan terang, dan aplikasi pada peranti yang sama sudah memberikannya. Jika matlamatnya ialah daya tahan terhadap kompromi stesen kerja VPN, namakan keupayaan penyerang itu dan pilih susunan yang dinilai untuknya, dengan keperluan phishing dinyatakan berasingan dan bukan diandaikan.
Kemudian tangani separuh operasi, yang menentukan sama ada apa-apa daripadanya bertahan apabila bersentuhan dengan insiden. Kehilangan peranti memerlukan laluan penggantian yang didokumenkan, putaran kelayakan memerlukan pembatalan sesi aktif, dan bahan pendaftaran memerlukan perlindungan yang sama seperti benih, kerana salinan pendaftaran tanpa perlindungan memberikan penyerang kod masa depan yang sama melalui laluan yang lebih pendek. Menyenaraikan keempat-empat perkara itu lebih berguna daripada berbahas sama ada token pada peranti yang sama bagus atau tidak bernilai.