Talba MFA tal-VPN miċħuda: x’għandu jagħmel il-klijent

Talba MFA miċħuda tidher bħala problema tan-netwerk u mhijiex. Is-server talab it-tieni fattur, il-fattur ġie lura negattiv jew qatt ma wasal, u s-sessjoni ġiet miċħuda qabel ma kien jeżisti xi tunnel. Dak li jiġri wara hija kwistjoni ta’ mġiba tal-klijent: turi l-falliment u tħalli lill-utent jibda tentattiv nadif, jew terġa’ tipprova b’modi li joħolqu aktar talbiet u fl-aħħar iqabbdu l-protezzjoni tal-kont. It-tieni triq hija kif kodi wieħed ittajpjat ħażin isir kont imsakkar.

Iċċekkja liema talba falliet

Ibda billi tidentifika liema talba falliet. Notifika push, kodiċi TOTP, asserzzjoni FIDO u flussi SAML jonqsu kull wieħed b’mod differenti, u l-klijent normalment ikun jaf liema waħda talab. Ċaħda, sfida skaduta u falliment fid-distribuzzjoni li qatt ma wasal għall-apparat kollha jispiċċaw fl-istess żball ġeneriku, u għalhekk id-differenza spiss tibqa’ biss fl-istat tal-klijent innifsu.

Dak l-istat jistħoqqlu jiġi rreġistrat b’mod preċiż. Irreġistra l-identifikatur tas-sfida jew ir-referenza tat-tranżazzjoni, it-tip ta’ fattur, it-timbru tal-ħin u r-riżultat, imma qatt il-kodiċi jew l-asserzzjoni. L-identifikatur tas-sfida huwa dak li jippermetti lil amministratur isib l-avveniment fuq in-naħa tal-fornitur tal-identità; mingħajrha l-konverżazzjoni mas-support tibda b’«f’xi ħin fl-aħħar siegħa» u normalment tintemm hemm. Ittrattah bħala metadejta dijanjostika, mhux bħala sigriet.

Erġa’ pprova darba, deliberatament, b’sfida ġdida

Tentattiv mill-ġdid għandu jkun tentattiv ġdid b’sfida ġdida, mhux riproduzzjoni ta’ dik qadima. Meta l-klijent juża mill-ġdid is-sfida preċedenti, il-fornitur tal-identità jew jiċħadha bħala skaduta jew, agħar, jaċċetta approvazzjoni li kienet maħsuba għat-tentattiv preċedenti. Itlob sfida friska, uriha u ħalli lill-utent jaġixxi fuq dik li qiegħda bħalissa fuq l-iskrin.

Żewġ tentattivi b’pawsa qasira bejniethom huma valur prestabbilit raġonevoli; linja bla tarf mhijiex. Jekk it-tieni tentattiv jonqos bl-istess mod, waqaf u rrapporta minflok tkompli.

X’m’għandux jagħmel il-klijent

Il-klijent m’għandux jagħmel diversi affarijiet li jidhru ta’ għajnuna u mhumiex. M’għandux ikompli jibgħat notifiki push sakemm xi ħadd jitfa’ «approva», għax dan iħarreġ lill-utenti japprovaw talbiet li ma bdewx huma u hija eżattament l-imġiba li fuqha jiddependu l-kits tal-phishing. M’għandux jaqa’ lura għal fattur aktar dgħajjef għax dak qawwi falla, u m’għandux jiddiżattiva l-verifika tal-identità tas-server biex jaqbeż ilment ta’ ċertifikat li deher fl-istess ħin. Kull waħda minn dawn it-tliet shortcuts tbiddel falliment ta’ awtentikazzjoni f’inċident ta’ sigurtà.

M’għandux lanqas jibla’ l-falliment fis-skiet. Klijent li jagħlaq il-konnessjoni u juri spinner iħalli lill-utent mingħajr ebda idea jekk għandux jerġa’ jipprova, jistenna jew iċempel lis-support. Uri l-falliment bit-tip ta’ fattur u kodiċi qasir, żomm il-messaġġ ħieles mis-sigrieti u agħmel l-azzjoni tat-tentattiv mill-ġdid espliċita minflok awtomatika.

Jekk it-talba ma nbditx mill-persuna fuq it-tastiera, l-azzjoni korretta hija li tħalliha miċħuda u tirrapporta permezz tal-passaġġ tas-support ivverifikat. Li tapprova talba biex tieqaf l-istorbju huwa l-mudell tal-falliment, mhux is-soluzzjoni.

X’għandu jiġi rreġistrat għas-support

Għas-support, ir-rekord utli huwa żgħir. Il-ħin approssimattiv biż-żona tal-ħin, il-kont, il-klijent u l-verżjoni, it-tip ta’ fattur, u l-istat mhux sigriet ta’ kull tentattiv: mitlub, miċħud, skadut, approvat imma miċħud mill-politika.

Żomm għajnejk ukoll fuq l-arloġġi tal-klijent u tas-server. TOTP hija verifika tat-tieqa tal-ħin, għalhekk apparat li l-arloġġ tiegħu ċċaqlaq jipproduċi kodiċijiet li jidhru validi u jonqsu kull darba, u klijent li jirrapporta kodiċi invalid mingħajr ma jsemmi ċ-ċaqliq jibgħat lin-nies jerġgħu jistabbilixxu kredenzjali li qatt ma kienu ħżiena. Utent li d-dħul tiegħu jonqos ripetutament għandu jiċċekkja l-verżjoni tal-klijent appoġġjata, l-istat tar-reġistrazzjoni u l-fluss tal-irkupru dokumentat qabel ma jiġġenera aktar talbiet.

Il-passaġġ tal-irkupru jistħoqqlu l-istess ħsieb bħall-passaġġ tad-dħul. Fluss tax-xogħol għal apparat mitluf jeżisti preċiżament sabiex ċaħda ma ssirx permess biex tiġi evitata l-awtentikazzjoni, u l-klijent għandu jorbot mal-proċess dokumentat tal-organizzazzjoni minflok joħloq wieħed tiegħu.

Ir-regola li fuqha għandu jinbena huwa li ċ-ċaħda hija riżultat, mhux ostaklu. Irrapportaha darba, b’mod ċar, biżżejjed kuntest biex taġixxi, u ħalli t-tentattiv li jmiss ikun wieħed ġdid. Il-gwida tas-CISA dwar MFA reżistenti għall-phishing tispjega għaliex il-mudell «staqsi sakemm jiġi approvat» huwa perikoluż mill-bidu, u hija r-referenza li jistħoqqilha tiġi ċċitata meta xi ħadd jipproponi linja ta’ tentattivi mill-ġdid. Kull ma żżid il-klijent wara ċaħda għandu jagħmel id-deċiżjoni li jmiss aktar faċli għall-bniedem, mhux ineħħi d-deċiżjoni minnu.