TOTP fuq l-istess laptop hija tassew it-tieni fattur?
Ġeneratur tal-kodiċi fuq il-laptop tal-VPN huwa fattur ta’ pussess li jinsab ġewwa l-istess fruntiera ta’ kompromess. L-ewwel segwi ż-żerriegħa u s-sessjoni.
Idħol fi klijent VPN li jitlob password u mbagħad kodiċi ta’ sitt ċifri, u żewġ talbiet jidhru bħala żewġ barrieri indipendenti. Jekk jingħaddu skont it-tip ta’ fattur, hekk huma: il-password hija xi ħaġa li taf, il-kodiċi hija xi ħaġa li għandek. Jekk jingħaddu skont dak li jikxef laptop kompromess wieħed, jistgħu jaqgħu f’fruntiera waħda, għax dak li għandek huwa fajl fuq il-magna li qed tittajpja fiha. Id-distakk bejn dawn iż-żewġ għaddiet huwa s-suġġett ta’ dan l-eżerċizzju.
Segwi dħul wieħed mill-qasam tal-password sal-qasam tal-kodiċi
Ħares lejn is-sekwenza, mhux it-tikketti. Il-klijent jibgħat il-password, is-server iwieġeb li hija meħtieġa prova oħra, u l-klijent jiftaħ qasam għal sitt jew tmien ċifri. Wara dak il-qasam hemm applikazzjoni ġeneratriċi li żżomm sigriet maqsum u arloġġ. Hija tikkalkula valur mis-sigriet u mill-pass tal-ħin attwali, u s-server jerġa’ jikkalkula l-istess valur mill-kopja tiegħu tas-sigriet.
Iż-żewġ naħat iżommu l-istess materjal tal-muftieħ. Dik is-simmetrija hija l-parti li n-nies jaqbiżu meta jiddeskrivu l-kodiċi bħala sigriet: il-fornitur jista’ jiġġenera l-kodiċijiet tiegħek ukoll, u għalhekk iż-żerriegħa tiswa iktar minn kwalunkwe output wieħed. Kodiċi li joħroġ huwa valur ta’ darba; iż-żerriegħa li pproduċieh hija kredenzjali permanenti li tkompli tipproduċi valuri validi sakemm tiġi sostitwita.
L-attivazzjoni hija n-nofs l-ieħor tal-fluss. Ġeneratur li jinfetaħ b’kodiċi tal-apparat, b’talba bijometrika jew b’kontenitur encrypted jippreżenta prova ta’ pussess flimkien ma’ xi ħaġa oħra. Dak li jaħdem mingħajr encryption u jinfetaħ bis-sessjoni tas-sistema operattiva jippreżenta biss il-fajl. L-istess applikazzjoni tista’ toffri ż-żewġ arranġamenti skont kif saret ir-reġistrazzjoni, għalhekk id-deċiżjoni tal-varar tinsab f’dak il-pass, mhux fil-paġna tal-marketing tal-app.
Iddeċiedi x’jipprova tassew il-kodiċi
Il-lingwa tal-istandards hija hawnhekk ċara b’mod mhux tas-soltu, u tissokta tinqara direttament. Il-gwida tal-NIST dwar l-awtentikaturi telenka l-ġeneraturi OTP ibbażati fuq is-software bħala awtentikaturi, tiddistingwi l-OTP b’fattur wieħed mill-OTP b’ħafna fatturi b’fattur ta’ attivazzjoni, u tgħid li l-awtentikazzjoni OTP mhix reżistenti għall-phishing. Kull waħda minn dawn it-tliet klawsoli tbiddel dak li tista’ tgħid dwar it-talba.
In-nuqqas ta’ reżistenza għall-phishing huwa l-iktar tarf qawwi. Kodiċi miktub f’qasam jista’ jinkiteb fil-qasam ta’ xi ħadd ieħor, fil-ħin reali, minn persuna li ġiet konvinta tagħmel hekk. It-tieqa hija qasira, li tnaqqas l-għadd ta’ tentattivi utli iżda ma tagħlaqx it-teknika. Jekk il-ħtieġa tiegħek tinkludi reżistenza għal dan, l-OTP hija l-primittiva żbaljata, irrispettivament minn fejn jaħdem il-ġeneratur.
Fattur wieħed kontra ħafna fatturi hija t-tieni distinzjoni. Kodiċi li jidher mingħajr pass ta’ attivazzjoni jipprova l-pussess ta’ fajl u xejn iktar, u l-fajl huwa biss b’saħħtu daqs il-kont li jista’ jaqrah. Żid fattur ta’ attivazzjoni u d-dikjarazzjoni tittejjeb, għalkemm xorta tiddeskrivi l-prova ppreżentata fid-dħul, mhux l-iżolament tal-magna li tipproduċiha.
Ara x’jista’ jilħaq laptop kompromess
Attakkant b’eżekuzzjoni tal-kodiċi fuq l-istazzjon tax-xogħol mhuwiex limitat għall-qari tal-qasam li qed tittajpja fih. Is-sessjoni stabbilita wara dħul b’suċċess hija normalment token jew cookie, u token jista’ jintuża minn magna oħra mingħajr ebda kodiċi. Jekk din hija l-kapaċità li qed tiddefendi kontra tagħha, iż-żieda ta’ tieni talba fid-dħul tbiddel l-għadd ta’ passi fl-attakk, mhux ir-riżultat.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Aqra t-tielet kolonna bħala dik onesta. Kull arranġament hawn fuq iħalli xi ħaġa ġewwa l-fruntiera ta’ fiduċja tal-istazzjon tax-xogħol, għax hemmhekk tintuża s-sessjoni. Dak li jinbidel huwa jekk is-sigriet fit-tul jivvjaġġax ma’ dik il-fruntiera jew jibqax barra minnha, u jekk il-prova hijiex marbuta ma’ oriġini speċifika sabiex paġna imitata ma tkunx tista’ tgħaddiha.
Żewġ dettalji iżgħar jappartjenu għall-istess xena. Kodiċi jibqa’ validu mat-tieqa ta’ aċċettazzjoni tiegħu, spiss tletin sekonda flimkien ma’ tolleranza għad-diverġenza tal-arloġġ, għalhekk valur maqbud jista’ jerġa’ jindaqq ġewwa dik it-tieqa sakemm il-verifikatur ma jirrifjutax l-użu mill-ġdid. U l-installazzjoni ta’ ġeneratur ġdid ma ttemmx sessjonijiet li diġà ġew awtentikati, għalhekk sessjoni qadima tgħix aktar mill-bidla tal-kredenzjali li kellha trażżan l-inċident.
Mexxi l-ġeneratur biss fejn is-separazzjoni tgħin
It-tqegħid tal-ġeneratur tal-kodiċi fuq telefon hija titjib reali għal falliment wieħed speċifiku: laptop misruq ma jibqax iġorr iż-żewġ provi. Iżda ma jagħmel xejn kontra l-ħtif ta’ sessjoni fuq il-laptop, xejn għal utent li jittajpja kodiċi f’paġna tal-phishing, u xejn għall-kodiċijiet tal-irkupru li darba ġew stampati u mtellgħin bħala ritratt f’app tan-noti.
Għalhekk ikteb il-ħtieġa qabel tagħżel l-għodda. Jekk l-għan huwa prova żejda kontra password li nġibdet, għidha b’mod ċar, u l-app fuq l-istess apparat diġà tagħtiha. Jekk l-għan huwa reżiljenza għall-kompromess tal-istazzjon tax-xogħol tal-VPN, semmi dik il-kapaċità tal-attakkant u agħżel arranġament ivvalutat għaliha, bil-ħtieġa tal-phishing imsemmija separatament minflok preżunta.
Imbagħad ittratta n-nofs operattiv, li jiddeċiedi jekk xi ħaġa minn dan tgħaddix minn kuntatt ma’ inċident. It-telf tal-apparat jeħtieġ perkors ta’ sostituzzjoni dokumentat, ir-rotazzjoni tal-kredenzjali teħtieġ revoka ta’ sessjonijiet attivi, u l-materjal tar-reġistrazzjoni jeħtieġ l-istess protezzjoni bħaż-żerriegħa, għax kopja tar-reġistrazzjoni mhux protetta tagħti lill-attakkant l-istess kodiċijiet futuri permezz ta’ perkors iqsar. L-għadd ta’ dawn l-erba’ punti huwa iktar utli milli targumenta dwar jekk tokens fuq l-istess apparat humiex tajba jew bla valur.