Żewġ talbiet għall-password mhumiex MFA: x'jivverifika login VPN

Il-paġna tal-login titlob password, imbagħad it-tieni sigriet, u l-implimentazzjoni tiġi deskritta minnufih bħala multifattur. Xi kultant hi. Ħafna drabi huwa fattur wieħed miġbur darbtejn, għax iż-żewġ valuri huma għarfien li l-istess persuna ittajpjat mill-istess memorja jew mill-istess nota. Cipher qawwi tat-tunnel ma jbiddilx dan, u lanqas il-kelma «sigur» fl-isem tal-prodott.

Is-separazzjoni tal-allegazzjoni mill-mekkaniżmu teħtieġ mistoqsija waħda: x’jipprova kull pass, u lil min?

Fattur huwa prova, mhux qasam

L-awtentikazzjoni multifattur tfisser li għall-istess kont jiġi vverifikat aktar minn tip distint wieħed ta’ prova: xi ħaġa li l-utent jaf, xi ħaġa li għandu, xi ħaġa li hu. Żewġ qasam li t-tnejn jiġbru string memorizzata huma tip wieħed ta’ prova mitlub darbtejn. Dan jista’ jkun kontroll utli, għax żewġ sigrieti indipendenti huma eħħar biex tħassarhom minn wieħed, imma mhuwiex dak li jiddeskrivi t-terminu u m’għandux jingħadd bħala tali f’valutazzjoni tar-riskju.

In-naħa tal-verifika hija importanti daqs in-naħa tal-ġbir. Kodiċi ġġenerat fuq apparat jipprova l-kontroll ta’ dak l-apparat biss jekk is-server jivverifikah kontra sigriet marbut ma’ dan il-kont u jirrifjuta r-ripetizzjonijiet. Kodiċi kondiviż li jaħdem għal kulħadd, kodiċi mingħajr limitu u talba approvata fuq apparat li qatt ma juri x’qed jiġi approvat huma kollha aktar dgħajfa milli tissuġġerixxi t-tikketta.

Allura meta xi ħadd jistaqsi jekk il-VPN għandux MFA, staqsi x’jipprova t-tieni pass u kif is-server jorbu. Jekk it-tweġiba hija «it-tieni password mill-istess direttorju», għandek fattur wieħed u konverżazzjoni dwar il-politika, mhux it-tieni fattur.

Il-każ taċ-ċertifikat irid jinqara, mhux preżunt

Ċertifikat tal-klijent flimkien ma’ password jidher bħala żewġ fatturi, u jista’ jkun: iċ-ċertifikat jinżamm f’maħżen jew fuq token, u l-password tiftakar. Jista’ jkun ukoll wieħed, jekk il-fajl taċ-ċertifikat jinstab mingħajr protezzjoni fl-istess direttorju tal-profil bħall-password salvata, jew jekk iċ-ċertifikat inħareġ għal apparat li diversi nies jaqsmu mingħajr responsabbiltà individwali.

Il-mistoqsija li trid tissolva hija min jew x’jidentifika ċ-ċertifikat. Ċertifikat tal-apparat jipprova li magna amministrata hija preżenti. Ċertifikat tal-utent jipprova identità. Jekk l-implimentazzjoni toħroġ ċertifikat wieħed għal kull laptop u mbagħad tittratta l-preżenza tiegħu bħala prova tal-persuna, it-tieni fattur sar bil-kwiet proprjetà tal-ħardwer li jiret kull min iżomm il-laptop.

Xejn minn dan ma jagħmel iċ-ċertifikati idea ħażina. Dan jagħmel id-distinzjoni bejn assigurazzjoni tal-apparat u assigurazzjoni tal-utent denja li tinkiteb, għax it-tnejn iwieġbu mistoqsijiet differenti u spreadsheet tal-konformità li jgħoddhom bħala wieħed se jesaġera dak li hu protett.

Il-fiduċja fil-gateway u l-fiduċja fl-utent huma problemi separati

It-tieni fattur ma jagħmilx sigur li tittajpja kredenzjali f’endpoint li ma vverifikajtx. Il-klijent irid jirrikonoxxi l-gateway maħsub, u għal dan huma ċ-ċertifikat tas-server u l-konfigurazzjoni tal-fiduċja tal-klijent. Il-phishing jaħdem billi jċaqlaq il-login għal server ikkontrollat mill-attakkant, u kodiċi korrett ta’ użu wieħed imdaħħal hemmhekk sempliċement jiġi mgħoddi lis-servizz veru fil-ħin reali.

Għalhekk l-għażla tal-metodu tbiddel ir-riżultat aktar mill-kliem tat-talba. Kodiċijiet imtajpja minn persuna jistgħu jiġu mgħoddija minn kull min jista’ juri paġna konvinċenti, filwaqt li metodi kriptografiċi li jorbtu l-awtentikazzjoni mal-oriġini u s-sessjoni speċifiċi jirreżistu dik it-trasmissjoni bid-disinn. Liema minn dawn għandek hija proprjetà tal-metodu, mhux tan-numru ta’ passi fid-djalogu.

Segwi r-reġistrazzjoni u l-fluss tal-klijent appoġġjati mill-fornitur minflok ma ssawwab talba żejda fuq qasam tal-password. It-tieni pass magħmul id-dar normalment jinżel xi mkien fin-nofs, iżid frizzjoni mingħajr ir-rabta li tagħmel il-fattur sinifikanti.

L-irkupru huwa t-tieni bieb ta’ quddiem

Kull login qawwi għandu triq lura meta l-awtentikatur jintilef, u dik it-triq hija normalment l-aktar punt dgħajjef tad-disinn. Jekk aġent tal-appoġġ jista’ jirrisettja t-tieni fattur wara telefonata lil numru fil-fajl, l-irħas rotta għall-attakkant hija l-help desk, mhux il-paġna tal-login.

Staqsi kif taħdem is-sostituzzjoni, min japprovah u liema provi jeħtieġu. Imbagħad iċċekkja li l-materjal tal-irkupru, bħal kodiċijiet ta’ riżerva, jinżamm separat mill-kredenzjali primarju, sabiex kompromess wieħed ma jagħtix it-tnejn. Il-linji gwida tal-NIST dwar l-identità diġitali jittrattaw l-irbit tal-verifikatur u ċ-ċiklu tal-ħajja tal-awtentikatur bħala parti mir-rekwiżit, mhux bħala ħsieb operattiv ta’ wara.

X’għandek tikteb fil-valutazzjoni

Iddeskrivi l-fatturi skont it-tip, semmi x’jipprova kull wieħed u ddikjara kif huwa marbut mal-kont. Innota jekk il-metodu jirreżistix it-trasmissjoni, u ddeskrivi t-triq tal-irkupru bl-istess kura tal-login.

Imbagħad għid b’mod ċar jekk l-implimentazzjoni hijiex multifattur skont dik id-definizzjoni. «Żewġ passwords u ċertifikat tal-magna» hija sentenza onesta, u tgħid lill-qarrej ħafna aktar minn kaxxa tal-kontroll li tgħid iva.