Ikona tal-awtentikatur ħażina? Għaliex il-logo ma tipprova xejn
Logo nieqsa ma tgħid xejn dwar min qed iżomm it-tieni fattur tiegħek. Ivverifika r-reġistrazzjoni permezz tal-kont, u qatt ma ttella' l-kodiċi QR biex issewwi stampa.
Kwadri griżi fejn suppost ikun hemm il-logo tal-marka jidhru allarmanti, u madankollu huma l-ħaġa żbaljata li fuqha għandek taġixxi. L-istampa li tpinġi awtentikatur hija dettall tat-turija miksub mit-tikketti fid-dħul, filwaqt li l-mistoqsija tas-sigurtà hija jekk is-sigriet ġewwa dak id-dħul huwiex tal-kont tiegħek. Li żżomm dawn it-tnejn mifruda huwa dak li jifred tiswija kożmetika minn inċident ta' kredenzjali. Huwa jwaqqaf ukoll it-tiswija li tagħmel l-affarijiet agħar.
L-ikona u s-sigriet iwieġbu mistoqsijiet differenti
Dħul fl-awtentikatur jinħoloq minn URI taċ-ċavetta li jġorr sigriet kondiviż flimkien ma' tikketta tal-kont u isem tal-ħarrieġ. L-app tpinġi logo mill-ħarrieġ li tagħraf, u ħarrieġ mhux magħruf jew mibdul sempliċement jipproduċi stampa ġenerika. Xejn f'dik it-turija ma jgħidlek min ieħor għandu kopja tas-sigriet, u xejn f'logo korretta ma jgħidlek li d-dħul huwa tiegħek biss. Aqra t-turija bħala ħjiel dwar tikketta, mhux bħala dikjarazzjoni dwar il-kustodja.
Il-kuntrarju huwa wkoll minnu, u dik hija d-direzzjoni l-iktar perikoluża. Logo konvinċenti tipprova saħansitra inqas minn waħda nieqsa.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Qatt terġa' tirreġistra biex issewwi stampa
It-tiswija li tiċċirkola online hija li terġa' tiġġenera l-kodiċi QR, li jfisser li tesporta s-sigriet u tgħaddih minn għodda oħra. Dan ibiddel problema tat-turija f'divulgazzjoni, għax l-esportazzjoni fiha eżattament il-materjal li attakkant jeħtieġ biex jipproduċi kodiċijiet validi. Li ttellgħu fuq ġeneratur tal-web jagħti t-tieni fattur lil parti terza bi skambju għal ikona isbaħ.
Jekk il-kont għadu jivverifika l-kodiċijiet, ir-reġistrazzjoni hija sħiħa u t-turija hija kożmetika. Ikkonsulta d-dokumentazzjoni tal-awtentikatur stess dwar tikketti tal-ħarrieġ u tfittxija tal-ikoni, u ħalli d-dħul kif inhu. Li tedita t-tikketta biex iġġiegħel logo hija bidla fid-dħul għal raġuni li m'għandha x'taqsam xejn mal-awtentikazzjoni.
Żomm l-istampa QR oriġinali, l-URI taċ-ċavetta mhux ipproċessat u kull sigriet manwali 'l bogħod minn tickets, ħjut taċ-chat, screenshots u trackers pubbliċi tal-problemi. Screenshot ta' paġna tas-setup spiss ikun fih aktar milli kien biħsieb il-persuna li ħaditu.
Meta s-sigriet ġie tabilħaqq espost
Ittratta d-divulgazzjoni bħala inċident separat bir-risposta tiegħu stess. Uża l-proċess ta' sostituzzjoni appoġġjat mis-servizz biex tirreġistra awtentikatur ġdid, ikkonferma li d-dħul il-ġdid jipproduċi kodiċijiet aċċettati, u rtira r-reġistrazzjoni l-qadima fuq is-server. Li tħassar id-dħul lokalment ma jneħħix ir-reġistrazzjoni fuq in-naħa tas-server, għalhekk is-sigriet espost jista' jkompli jaħdem sakemm is-servizz jiġi mgħarraf mod ieħor. F'din il-vojt bejn it-tħassir lokali u l-istat tas-server tinsab il-biċċa l-kbira tar-riskju.
L-ordni f'dan huwa importanti. Irreġistra s-sostitut l-ewwel, ivverifikah, u biss imbagħad neħħi l-qadim, għax il-biċċa l-kbira tas-servizzi se jillokkjaw ilk għandek jekk jisparixxi l-aħħar fattur. Il-kodiċijiet tal-irkupru wkoll jagħmlu parti minn dik is-sekwenza, għaliex huma t-triq tar-riżerva meta t-telefon mhux disponibbli.
Iċċekkja jekk l-istess sigriet intużax x'imkien ieħor. URI taċ-ċavetta mwaħħal f'ġeneratur ħareġ mill-kontroll tiegħek, u l-kont wara għandu jiġi trattat bħala kondiviż sakemm tinbidel ir-reġistrazzjoni.
It-talbiet għall-għajnuna għandhom jiddeskrivu l-problema viżwali mingħajr kodiċijiet jew materjal tas-setup. Kull ħaġa speċifika għall-kont tappartjeni lill-kanal ivverifikat tal-fornitur, mhux lil ħajt pubbliku.
Żomm triq tal-irkupru qabel tħassar
Qabel ma tneħħi xi dħul li jaħdem, ikkonferma li teżisti triq tal-irkupru approvata u li tista' tużaha. Tiswija kożmetika li tispiċċa fi tfigħ barra hija riżultat agħar mill-logo żbaljata, u t-tfigħ barra huwa komuni meta l-uniku apparat irreġistrat ikun dak li qed jiġi editjat.
Il-kundizzjoni tal-aċċettazzjoni hija dejqa: relazzjoni ivverifikata bejn il-kont u l-awtentikatur, bil-materjal tar-reġistrazzjoni jinżamm privat. Badge familjari mhijiex parti minn dik il-kundizzjoni, u n-nuqqas tagħha mhuwiex prova ta' kompromess.
Il-format tal-URI taċ-ċavetta nnifsu huwa dokumentat fl-ispeċifikazzjoni tal-URI taċ-ċavetta ta' Google Authenticator, li tfakkar ukoll li l-payload fih sigriet u mhux logo. Aqraha qabel tesporta xi ħaġa minn dħul li ma tistax taffordja li titlef.