Għaliex kodiċi ta' darba validu xorta jonqos fid-dħul fil-VPN

Tiftaħ il-klijent tal-VPN, tittajpja l-password, u s-sitt ċifri mill-awtentikatur tiegħek jerġgħu lura bħala invalidi — darbtejn, imbagħad it-tielet darba. Ma nbidel xejn fil-kont minn bieraħ, għalhekk l-ewwel instinkt huwa li tħassar id-dħul fl-awtentikatur u terġa' tiskennjah — normalment din hija t-tiswija żbaljata. Kodiċi ta' darba mhuwiex it-tieni password: il-gateway irid jitolbu fi stadju partikolari, minn dħul reġistrat partikolari, f'ċerta medda ta' żmien, u l-biċċa l-kbira tar-rifjuti jsiru qabel ma jiġu mqabbla ċ-ċifri. Iddetermina f'liema stadju int qabel ma tmiss ir-reġistrazzjoni.

L-ordni tat-talbiet tgħidlek f'liema fluss int

Tliet forom ikopru kważi kull dħul fil-VPN li jinvolvi kodiċi. Fil-forma b'żewġ stadji l-klijent jibgħat il-password, is-server joħroġ sfida, u l-klijent jerġa' jistaqsi. Fil-forma magħquda l-gateway irid password u kodiċi f'sottomissjoni waħda — xi drabi magħqudin, xi drabi wara separat li jiddokumentah biss l-operatur. Fil-forma tal-browser il-klijent m'għandu l-ebda qasam: il-kodiċi jidħol f'paġna web, jew approvazzjoni push tissostitwih, u l-klijent tad-desktop jistenna r-riżultat.

Il-forma żbaljata tidher bħal kodiċi ħażin. Ippejstja kodiċi frisk f'qasam biss għall-password u s-server jaqrah bħala parti mill-password. Fuq in-naħa tal-klijent, OpenVPN 2.4 u aktar ġodda jagħmlu d-differenza viżibbli: server li jwieġeb b'AUTH_FAILED,CRV1: jistenna tweġiba għas-sfida, għalhekk il-profil jeħtieġ static-challenge jew fajl tal-password fil-forma SCRV1:. Profil eqdem li jġorr biss auth-user-pass jivvalida l-password u mbagħad jieqaf, li fil-log jidher bħal falliment OTP għalkemm ma ntbagħat l-ebda kodiċi.

WireGuard jistħoqqlu jissemma bħala l-eċċezzjoni: jawtentika pari ta' ċwievet, mhux nies, għalhekk m'hemmx qasam għal kodiċi. Jekk fornitur jirreklama wieħed, xi ħaġa barra mill-mina taqblu.

X'jagħmel is-server bis-sitt ċifri

Kodiċijiet ibbażati fuq il-ħin isegwu RFC 6238, li jgeżwer il-kostruzzjoni eqdem ibbażata fuq il-kuntatur minn RFC 4226: HMAC fuq fattur li jiċċaqlaq, maqtugħ għal sitt ċifri b'mod awtomatiku. Għal TOTP il-fattur li jiċċaqlaq huwa l-ħin Unix attwali diviż b'pass, 30 sekonda sakemm l-operatur ma nbidilx. Il-verifikatur qatt ma jqabbel iċ-ċifri tiegħek ma' valur maħżun; jerġa' jikkalkula l-kodiċi mistenni miż-żerriegħa kondiviża u normalment jaċċetta wkoll il-passi ġirien, għalhekk dawra bil-mod ma tfallix id-dħul.

Żewġ konsegwenzi jinżlu għalxejn. Iż-żona tal-ħin tat-telefon mhijiex rilevanti, għax iż-żerriegħa qatt ma tara arloġġ lokali — tgħodd biss id-devjazzjoni mill-UTC veru, u apparat li jmur żewġ minuti 'l quddiem ifalli f'kull kodiċi waqt li juri għadd lura nadif. U kodiċi huwa ta' darba b'disinn: il-verifikatur jiftakar l-aħħar valur tal-kuntatur li aċċetta għal dik iż-żerriegħa, għalhekk l-istess ċifri mibgħuta mill-ġdid jiġu rrifjutati anke fl-istess medda. Klijent li jerġa' jipprova wara waqfa jista' jaħraq il-kodiċi li għadu kemm bagħat.

Tokens ibbażati fuq il-kuntatur iċaqalqu l-kuntatur ma' kull pressjoni, għalhekk joħorġu mis-sinkronija wara li jiġu ġġenerati kodiċijiet li qatt ma jintbagħtu; it-tiswija tas-soltu hija tieqa ta' risinkronizzazzjoni li taċċetta xi valuri 'l quddiem. Jekk l-operatur irreġistra HOTP u l-app tiegħek turi TOTP, kull valur huwa żbaljat b'mod li jidher bħal problema tal-arloġġ. L-URI tal-provvista wara l-kodiċi QR issemmi t-tip, iċ-ċifri, il-perjodu u l-hash.

Fallimenti li jidhru bħal kodiċi żbaljat

Id-dħul reġistrat huwa l-aktar ħati komuni. L-apps tal-awtentikazzjoni jtikkettjaw id-dħul skont l-emittent u l-kont, għalhekk min għandu żewġ identitajiet fuq l-istess VPN jista' jispiċċa b'żewġ dħul li t-tikketti tagħhom ivarjaw b'karattru wieħed. Kodiċi huwa validu għaż-żerriegħa li ġġeneratu u għal xejn ieħor. Qabbel it-tikketta fuq it-telefon mal-isem tal-utent li s-server jirreġistra, mhux ma' dak li tiftakar li ttajpjajt.

It-tieni huwa sett ta' parametri li ma jaqbilx. Żerriegħa rreġistrata bi tmien ċifri, perjodu ta' 60 sekonda jew SHA-256 tagħti kodiċijiet li verifikatur li jistenna sitt ċifri, 30 sekonda u SHA-1 jirrifjuta, u fil-klijent dan ma jistax jiġi distint minn kodiċi żbaljat. Jidher wara migrazzjoni fejn id-dħul żdied mill-ġdid minn ritratt tal-kodiċi QR, jew fejn ir-rekord tat-token inbena mill-ġdid bil-valuri awtomatiċi.

It-tielet mhuwiex dwar il-kodiċi. Il-gateways normalment jirritornaw falliment wieħed ġenerali tal-awtentikazzjoni għal password ħażina, kodiċi skadut u kont diżattivat, apposta, sabiex ħadd ma jista' jinvestiga liema fattur falla. Aqra l-log tal-gateway jew ta' RADIUS minflok il-banner tal-klijent: sfida li qatt ma nħarġet, rifjut tal-aċċess mingħajr attribut OTP u rifjut skont il-politika jidhru l-istess fuq l-iskrin u jwasslu għal passi differenti li jmiss.

Sekwenza qasira li ddawwarha

Ibda bl-ifqar verifika u waqaf fl-ewwel pass li ma jżommx.

1. Stenna kodiċi frisk, ibgħatu darba, u noti jekk is-sfida tidhirx qabel jew wara li l-password tiġi aċċettata.
2. Qabbel it-tikketta fl-awtentikatur mal-isem tal-utent li s-server jaħżen.
3. Ikkonferma li l-profil jista' jwieġeb sfida xorta waħda, bħal fil-każ CRV1 hawn fuq.
4. Qabbel l-arloġġ tal-apparat ma' sors tal-ħin magħruf; devjazzjoni 'l fuq minn ftit għexieren ta' sekondi tkisser TOTP waħedha.
5. Staqsi lill-operatur jekk it-token huwiex TOTP jew HOTP, u liema ċifri, perjodu u hash ġew reġistrati.

Żewġ regoli jżommu dan milli jmur għall-agħar. Tippruvax ħafna drabi: ħafna gateways jgħoddu l-fallimenti għal kull kont u jew jillokkjawh jew jibdew jittardjaw it-tweġibiet, għalhekk dawra ta' tentattivi tbiddel żball żgħir fil-konfigurazzjoni fi ticket ta' appoġġ. U terġax tirreġistra t-token bħala dijanjosi, għax dan jinvalidaw iż-żerriegħa l-qadima; jekk il-ħsara vera kienet sfida li l-klijent qatt ma bagħat, issa għandek żewġ bidliet x'ispjega minflok waħda.

Żomm iż-żerriegħa u l-kodiċijiet tal-irkupru barra miċ-ċiklu

Is-sitt ċifri u s-sigriet warajhom mhumiex interkambjabbli. Kodiċi QR tal-provvista jew żerriegħa Base32 tiġġenera kull kodiċi futur tal-kont, għalhekk tappartjeni għall-istess kategorija bħall-password: mhux fi screenshot, mhux f'kumment ta' ticket, mhux f'chat ma' xi ħadd li kkuntattjak l-ewwel. Il-kodiċijiet tal-irkupru huma mekkaniżmu separat — ta' darba, ħafna drabi jaqbżu għal kollox it-talba tal-kodiċi, u li tneħħi wieħed biex tittestja l-kont ineħħi rotta ta' rikors li tista' tkun teħtieġ aktar tard.

Kodiċi lanqas ma jagħmel paġna tad-dħul affidabbli: talba OTP fuq dominju simili tiġbor kodiċi validu u terġa' ddoqqh fil-medda, u ċ-ċertifikat għadu dak li jgħidlek fejn qed tittajpja.

Jekk is-sekwenza tispiċċa fuq profil li ma jistax iwieġeb sfida, sewwi l-profil u erġa' ttestja b'kodiċi frisk wieħed. Jekk tispiċċa fuq parametri tar-reġistrazzjoni li ma jaqblux, staqsi lill-operatur jaqra r-rekord tat-token qabel ma xi ħadd jiskennja xi ħaġa. Jekk tispiċċa fuq lokkjar, stenna li jgħaddi minflok ma tbiddel il-klijenti — l-ostaklu huwa l-istat tal-kont, mhux l-app.