The same laptop मा TOTP साँच्चै दोस्रो कारक हो?
VPN ल्यापटपको कोड जेनेरेटर त्यही सम्झौता-सीमा भित्र बस्ने स्वामित्व कारक हो। पहिले बीउ र सत्र पछ्याउनुहोस्।
पहिले पासवर्ड र त्यसपछि छ अंकको कोड माग्ने VPN क्लाइन्टमा साइन इन गर्नुहोस्, र दुई अनुरोध दुई स्वतन्त्र बाधा जस्तै देखिन्छन्। कारकको प्रकारअनुसार गणना गर्दा तिनीहरू त्यस्तै हुन्: पासवर्ड तपाईंले जान्ने कुरा हो, कोड तपाईंसँग हुने कुरा हो। एउटा सम्झौता भएको ल्यापटपले के खुलासा गर्छ भन्नेअनुसार गणना गर्दा तिनीहरू एउटै सीमामा खस्न सक्छन्, किनकि तपाईंसँग हुने कुरा तपाईं टाइप गरिरहेको मेसिनको फाइल हो। यी दुई गणनाबीचको फरक यही समीक्षाको विषय हो।
पासवर्ड फिल्डबाट कोड बक्ससम्म एउटा लगइन पछ्याउनुहोस्
लेबल होइन, क्रम हेर्नुहोस्। क्लाइन्टले पासवर्ड पठाउँछ, सर्भरले दोस्रो प्रमाण आवश्यक छ भनी जवाफ दिन्छ, र क्लाइन्टले छ वा आठ अंकका लागि फिल्ड खोल्छ। त्यो फिल्डपछाडि साझा गोप्य र घडी राख्ने जेनेरेटर एप्लिकेसन हुन्छ। यसले गोप्य र हालको समय-चरणबाट मान गणना गर्छ, र सर्भरले गोप्यको आफ्नै प्रतिबाट त्यही मान पुनः गणना गर्छ।
दुवै पक्षसँग एउटै कुञ्जी-सामग्री हुन्छ। कोडलाई गोप्य भनिरहँदा मानिसहरूले छुटाउने भाग यही सममिति हो: आपूर्तिकर्ताले पनि तपाईंका कोड बनाउन सक्छ, त्यसैले बीउ कुनै पनि एकल आउटपुटभन्दा मूल्यवान हुन्छ। चुहिएको कोड एक-पटकको मान हो; त्यसलाई बनाउने बीउ प्रतिस्थापन नहुँदासम्म वैध मान उत्पादन गरिरहने स्थायी प्रमाणपत्र हो।
सक्रियता प्रवाहको अर्को आधा हो। यन्त्रको पासकोड, बायोमेट्रिक अनुरोध वा इन्क्रिप्टेड कन्टेनरले खुल्ने जेनेरेटरले स्वामित्वको प्रमाण र अरू केही प्रस्तुत गर्छ। इन्क्रिप्शनबिना चल्ने र अपरेटिङ सिस्टम सत्रले खुल्नेले फाइल मात्र प्रस्तुत गर्छ। त्यही एप्लिकेसनले दर्ता कसरी भयो भन्ने आधारमा दुवै व्यवस्था दिन सक्छ, त्यसैले तैनाथीको निर्णय त्यही चरणमा हुन्छ, एपको मार्केटिङ पृष्ठमा होइन।
कोडले वास्तवमा के प्रमाणित गर्छ त्यो निर्णय गर्नुहोस्
मानकको भाषा यहाँ असामान्य रूपमा स्पष्ट छ, र सिधै पढ्न योग्य छ। NIST को प्रमाणक मार्गदर्शन ले सफ्टवेयर-आधारित OTP जेनेरेटरलाई प्रमाणकका रूपमा सूचीबद्ध गर्छ, सक्रियता कारकसहितको बहु-कारक OTPबाट एक-कारक OTP अलग गर्छ, र OTP प्रमाणीकरण फिसिङ-प्रतिरोधी नभएको बताउँछ। ती तीनवटै वाक्यांशले अनुरोधबारे तपाईंले के दाबी गर्न सक्नुहुन्छ भन्ने बदल्छ।
फिसिङ-प्रतिरोधी नहुनु सबैभन्दा तीखो धार हो। फिल्डमा टाइप गरिएको कोड अर्काको फिल्डमा, वास्तविक समयमा, त्यसो गर्न राजी पारिएको व्यक्तिबाट टाइप गर्न सकिन्छ। झ्याल छोटो छ, जसले उपयोगी प्रयासको संख्या घटाउँछ तर प्रविधि बन्द गर्दैन। यदि तपाईंको आवश्यकतामा त्यसको प्रतिरोध समावेश छ भने, जेनेरेटर जहाँ पनि चलोस् OTP गलत प्राथमिक हो।
एक-कारक विरुद्ध बहु-कारक दोस्रो भिन्नता हो। सक्रियता चरणबिना देखिने कोडले फाइलमाथिको स्वामित्व प्रमाणित गर्छ र अरू केही होइन, र फाइल त्यसलाई पढ्न सक्ने खाताजत्तिकै बलियो हुन्छ। सक्रियता कारक थप्नुहोस्, दाबी सुधार हुन्छ, तैपनि यसले लगइनमा प्रस्तुत प्रमाणको वर्णन गर्छ, त्यसलाई उत्पादन गर्ने मेसिनको अलगावको होइन।
सम्झौता भएको ल्यापटप कहाँसम्म पुग्न सक्छ हेर्नुहोस्
कार्यस्थलमा कोड चलाउने क्षमता भएको आक्रमणकारी तपाईं टाइप गरिरहेको फिल्ड पढ्नमा मात्र सीमित छैन। सफल लगइनपछि स्थापित सत्र सामान्यतया टोकन वा कुकी हुन्छ, र टोकन कुनै कोडबिना अर्को मेसिनबाट प्रयोग गर्न सकिन्छ। यदि यही त्यो क्षमता हो जसविरुद्ध तपाईं रक्षा गर्दै हुनुहुन्छ, लगइनमा दोस्रो अनुरोध थप्नाले आक्रमणका चरणको संख्या बदल्छ, परिणाम होइन।
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
तेस्रो स्तम्भलाई इमानदार स्तम्भका रूपमा पढ्नुहोस्। माथिको हरेक व्यवस्थाले कार्यस्थलको विश्वास-सीमाभित्र केही छोड्छ, किनकि सत्र त्यहीँ प्रयोग हुन्छ। फेरिने कुरा दीर्घकालीन गोप्य त्यो सीमासँगै यात्रा गर्छ कि बाहिर रहन्छ, र प्रमाण कुनै विशेष उद्गमसँग बाँधिएको छ कि छैन ताकि नक्कली पृष्ठले त्यसलाई अगाडि पठाउन नसकोस्।
दुई साना विवरण एउटै चित्रका हुन्। कोड आफ्नो स्वीकृति-झ्यालभरि वैध रहन्छ, प्रायः तीस सेकेन्ड थप घडीको विचलनका लागि सहनशीलता, त्यसैले पक्रिएको मान त्यो झ्यालभित्र पुनः चलाउन सकिन्छ, जबसम्म प्रमाणकर्ताले पुनःप्रयोग अस्वीकार गर्दैन। र नयाँ जेनेरेटर स्थापना गर्नाले पहिले नै प्रमाणीकृत सत्रहरू अन्त्य गर्दैन, त्यसैले पुरानो सत्र घटनालाई नियन्त्रण गर्नुपर्ने त्यो प्रमाणपत्र परिवर्तनभन्दा लामो बाँच्छ।
जेनेरेटर अलगावले सहयोग गर्ने ठाउँमा मात्र सार्नुहोस्
कोड जेनेरेटर फोनमा राख्नु एउटा विशेष असफलताका लागि वास्तविक सुधार हो: चोरिएको ल्यापटपले अब दुवै प्रमाण बोक्दैन। तर ल्यापटपमा सत्र-अपहरणका लागि केही गर्दैन, फिसिङ पृष्ठमा कोड टाइप गर्ने प्रयोगकर्ताका लागि केही गर्दैन, र एकपटक छापिएर नोट्स एपमा फोटो खिचिएका पुनःप्राप्ति कोडका लागि पनि केही गर्दैन।
त्यसैले उपकरण छान्नुअघि आवश्यकता लेख्नुहोस्। लक्ष्य चुहिएको पासवर्डविरुद्ध थप प्रमाण हो भने, त्यो स्पष्ट भन्नुहोस्, र त्यही यन्त्रको एपले त्यो पहिले नै दिन्छ। लक्ष्य VPN कार्यस्थलको सम्झौताविरुद्ध लचिलोपन हो भने, त्यो आक्रमणकारी-क्षमताको नाम लिनुहोस् र त्यसका लागि मूल्याङ्कन गरिएको व्यवस्था छान्नुहोस्, र फिसिङ आवश्यकता अनुमान नगरी छुट्टै उल्लेख गर्नुहोस्।
त्यसपछि परिचालन आधा सम्हाल्नुहोस्, जसले यीमध्ये केही घटनासँगको सम्पर्कमा टिक्छ कि टिक्दैन भन्ने निर्णय गर्छ। यन्त्र हराउँदा दस्तावेजीकृत प्रतिस्थापन मार्ग चाहिन्छ, प्रमाणपत्र घुमाउन सक्रिय सत्र रद्द गर्नुपर्छ, र दर्ता सामग्रीलाई बीउजत्तिकै संरक्षण चाहिन्छ, किनकि असुरक्षित दर्ता प्रतिले आक्रमणकारीलाई त्यही भावी कोड छोटो मार्गबाट दिन्छ। यी चार बुँदा गणना गर्नु एउटै यन्त्रका टोकन राम्रा वा निरर्थक हुन् भन्ने बहसभन्दा उपयोगी हुन्छ।