Feil ikon i autentiseringsappen? Derfor beviser logoen ingenting
En manglende logo sier ingenting om hvem som har den andre faktoren din. Bekreft registreringen via kontoen, og last aldri opp QR-koden for å reparere et bilde.
Grå ruter der en merkelogo skulle vært, ser alarmerende ut, og likevel er de det gale å handle på. Bildet en autentiseringsapp tegner, er en visningsdetalj utledet fra etikettene i oppføringen, mens sikkerhetsspørsmålet er om hemmeligheten i den oppføringen tilhører kontoen din. Å holde de to tingene fra hverandre er det som skiller en kosmetisk reparasjon fra en hendelse med påloggingsinformasjon. Det stopper også reparasjonen som gjør ting verre.
Ikonet og hemmeligheten svarer på ulike spørsmål
En oppføring i autentiseringsappen lages fra en nøkkel-URI som bærer en delt hemmelighet sammen med en kontoetikett og et utgivernavn. Appen tegner en logo fra utgiveren den kjenner igjen, og en ukjent eller endret utgiver gir bare et generisk bilde. Ingenting i den visningen forteller deg hvem andre som har en kopi av hemmeligheten, og ingenting i en korrekt logo forteller deg at oppføringen bare er din. Les visningen som et hint om en etikett, ikke som en uttalelse om oppbevaring.
Det motsatte er også sant, og det er den farligere retningen. En overbevisende logo beviser enda mindre enn en manglende.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Registrer aldri på nytt for å reparere et bilde
Reparasjonen som sirkulerer på nettet, er å generere QR-koden på nytt, noe som betyr å eksportere hemmeligheten og sende den gjennom et annet verktøy. Det gjør et visningsproblem til en avsløring, fordi eksporten inneholder nøyaktig det materialet en angriper trenger for å lage gyldige koder. Å laste den opp til en nettgenerator overlater den andre faktoren til en tredjepart mot et penere ikon.
Hvis kontoen fortsatt verifiserer koder, er registreringen intakt og visningen kosmetisk. Slå opp i autentiseringsappens egen dokumentasjon om utgiveretiketter og ikonsøk, og la oppføringen være. Å redigere etiketten for å tvinge fram en logo er en endring av oppføringen av en grunn som ikke har noe med autentisering å gjøre.
Hold det originale QR-bildet, den rå nøkkel-URI-en og enhver manuell hemmelighet unna saker, chat-tråder, skjermbilder og offentlige feilsporere. Et skjermbilde av en oppsettsside inneholder ofte mer enn personen som tok det, hadde tenkt.
Når hemmeligheten faktisk ble avslørt
Behandle avsløring som en egen hendelse med sin egen respons. Bruk tjenestens støttede utskiftingsprosess for å registrere en ny autentiseringsapp, bekreft at den nye oppføringen gir godkjente koder, og avvikle den gamle registreringen på serveren. Sletting av oppføringen lokalt fjerner ikke registreringen på serversiden, så den avslørte hemmeligheten kan fortsette å virke til tjenesten får beskjed om noe annet. Det er i dette gapet mellom lokal sletting og servertilstand at mesteparten av risikoen ligger.
Rekkefølgen betyr noe her. Registrer erstatningen først, bekreft den, og fjern først deretter den gamle, fordi de fleste tjenester låser deg ute hvis den siste faktoren forsvinner. Gjenopprettingskoder hører også med i den rekkefølgen, siden de er reserveveien når telefonen ikke er tilgjengelig.
Sjekk om den samme hemmeligheten er brukt andre steder. En nøkkel-URI som er limt inn i en generator, har forlatt kontrollen din, og kontoen bak bør behandles som delt til registreringen er byttet ut.
Støtteforespørsler bør beskrive det visuelle problemet uten å inkludere koder eller oppsettmateriale. Alt kontospesifikt hører til leverandørens verifiserte kanal, ikke i en offentlig tråd.
Ha en gjenopprettingsvei før du sletter
Før du fjerner en fungerende oppføring, må du bekrefte at en godkjent gjenopprettingsvei finnes og at du kan bruke den. En kosmetisk reparasjon som ender i en utlåsing, er et verre utfall enn feil logo, og utlåsinger er vanlige når den eneste registrerte enheten er den som redigeres.
Godtakelsesvilkåret er smalt: et bekreftet forhold mellom kontoen og autentiseringsappen, med registreringsmaterialet holdt privat. Et kjent merke er ikke en del av det vilkåret, og fraværet er ikke bevis på kompromittering.
Selve nøkkel-URI-formatet er dokumentert i Google Authenticators spesifikasjon for nøkkel-URI, som også minner om at nyttelasten inneholder en hemmelighet og ikke en logo. Les den før du eksporterer noe fra en oppføring du ikke har råd til å miste.