Dua gesaan kata laluan bukan MFA: apa yang disahkan oleh log masuk VPN

Halaman log masuk meminta kata laluan, kemudian rahsia kedua, dan penggunaan itu terus digambarkan sebagai berbilang faktor. Kadang-kadang memang begitu. Selalunya ia satu faktor yang dikumpul dua kali, kerana kedua-dua nilai ialah pengetahuan yang ditaip oleh orang yang sama daripada ingatan yang sama atau nota yang sama. Cipher terowong yang kuat tidak mengubahnya, dan perkataan „selamat“ dalam nama produk juga tidak.

Mengasingkan dakwaan daripada mekanisme memerlukan satu soalan: apa yang dibuktikan oleh setiap langkah, dan kepada siapa?

Faktor ialah bukti, bukan medan

Pengesahan berbilang faktor bermaksud lebih daripada satu jenis bukti yang berbeza disahkan untuk akaun yang sama: sesuatu yang pengguna tahu, sesuatu yang dimilikinya, sesuatu yang dia. Dua medan yang kedua-duanya mengumpul rentetan yang diingati ialah satu jenis bukti yang diminta dua kali. Itu boleh menjadi kawalan yang berguna, kerana dua rahsia bebas lebih sukar diteka daripada satu, tetapi ia bukan apa yang diterangkan oleh istilah itu dan tidak sepatutnya dikira sedemikian dalam penilaian risiko.

Sisi pengesahan sama pentingnya dengan sisi pengumpulan. Kod yang dijana pada peranti hanya membuktikan kawalan peranti itu jika pelayan menyemaknya terhadap rahsia yang terikat pada akaun ini dan menolak pengulangan. Kod dikongsi yang berfungsi untuk semua orang, kod tanpa had atau gesaan yang diluluskan pada peranti yang tidak pernah menunjukkan apa yang diluluskan semuanya lebih lemah daripada yang disiratkan oleh label.

Jadi apabila seseorang bertanya sama ada VPN mempunyai MFA, tanyakan apa yang dibuktikan oleh langkah kedua dan bagaimana pelayan mengikatnya. Jika jawapannya „kata laluan kedua daripada direktori yang sama“, anda mempunyai satu faktor dan perbualan dasar, bukan faktor kedua.

Kes sijil perlu dibaca, bukan diandaikan

Sijil klien ditambah kata laluan kelihatan seperti dua faktor, dan ia boleh jadi begitu: sijil disimpan dalam stor atau pada token, dan kata laluan diingati. Ia juga boleh menjadi satu, jika fail sijil terletak tanpa perlindungan dalam direktori profil yang sama dengan kata laluan yang disimpan, atau jika sijil dikeluarkan kepada peranti yang dikongsi beberapa orang tanpa akauntabiliti individu.

Soalan yang perlu diselesaikan ialah siapa atau apa yang dikenal pasti oleh sijil. Sijil peranti membuktikan bahawa mesin terurus hadir. Sijil pengguna membuktikan identiti. Jika penggunaan mengeluarkan satu sijil bagi setiap komputer riba dan kemudian menganggap kehadirannya sebagai bukti orang itu, faktor kedua telah senyap-senyap menjadi sifat perkakasan yang diwarisi oleh sesiapa yang memegang komputer riba itu.

Tiada satu pun daripada itu menjadikan sijil idea yang buruk. Ia menjadikan perbezaan antara jaminan peranti dan jaminan pengguna wajar ditulis, kerana kedua-duanya menjawab soalan yang berbeza dan hamparan pematuhan yang mengiranya sebagai satu akan melebih-lebihkan apa yang dilindungi.

Kepercayaan pada gerbang dan kepercayaan pada pengguna ialah masalah yang berasingan

Faktor kedua tidak menjadikan penulisan kelayakan ke titik akhir yang belum anda sahkan sebagai selamat. Klien mesti mengenali gerbang yang dimaksudkan, dan untuk itulah sijil pelayan serta konfigurasi kepercayaan klien. Phishing berfungsi dengan memindahkan log masuk ke pelayan yang dikawal penyerang, dan kod sekali guna yang betul yang dimasukkan di sana hanya disalurkan kepada perkhidmatan sebenar dalam masa nyata.

Itulah sebabnya pilihan kaedah mengubah hasil lebih daripada perkataan permintaan. Kod yang ditaip oleh seseorang boleh disalurkan oleh sesiapa yang boleh menunjukkan halaman yang meyakinkan, manakala kaedah kriptografi yang mengikat pengesahan pada asal dan sesi tertentu menolak penyaluran itu secara reka bentuk. Yang mana anda miliki ialah sifat kaedah itu, bukan bilangan langkah dalam dialog.

Ikuti pendaftaran dan aliran klien yang disokong vendor dan bukan memasang permintaan tambahan pada medan kata laluan. Langkah kedua buatan sendiri biasanya mendarat di suatu tempat di antaranya, menambah geseran tanpa ikatan yang memberi makna kepada faktor itu.

Pemulihan ialah pintu depan kedua

Setiap log masuk yang kukuh mempunyai jalan kembali apabila pengesah hilang, dan laluan itulah yang biasanya menjadi titik paling lemah dalam reka bentuk. Jika ejen sokongan boleh menetapkan semula faktor kedua selepas panggilan ke nombor yang direkodkan, laluan paling murah bagi penyerang ialah meja bantuan, bukan halaman log masuk.

Tanyakan bagaimana penggantian berfungsi, siapa yang meluluskannya dan bukti apa yang diperlukan. Kemudian semak sama ada bahan pemulihan seperti kod sandaran disimpan berasingan daripada kelayakan utama, supaya satu kompromi tidak menyerahkan kedua-duanya. Panduan NIST tentang identiti digital menganggap pengikatan pengesah dan kitaran hayat pengesah sebagai sebahagian daripada keperluan, bukan renungan operasi yang kemudian.

Apa yang perlu ditulis dalam penilaian

Terangkan faktor mengikut jenis, namakan apa yang dibuktikan oleh setiap satu dan nyatakan bagaimana ia terikat pada akaun. Catat sama ada kaedah itu menolak penyaluran, dan terangkan laluan pemulihan dengan ketelitian yang sama seperti log masuk.

Kemudian katakan dengan jelas sama ada penggunaan itu berbilang faktor mengikut takrifan tersebut. „Dua kata laluan dan satu sijil mesin“ ialah ayat yang jujur, dan ia memberitahu pembaca jauh lebih banyak daripada kotak semak yang berkata ya.