दुई पासवर्ड अनुरोधहरू MFA होइनन्: VPN लगइन के जाँच्छ

लगइन पृष्ठले पहिले पासवर्ड माग्छ, त्यसपछि दोस्रो रहस्य, र तैनाथीलाई तुरुन्तै बहुकारक भनिन्छ। कहिलेकाहीँ त्यो साँच्चै हुन्छ। प्रायः यो एउटै कारक हो जो दुई पटक सङ्कलन गरिएको हुन्छ, किनकि दुवै मान त्यही व्यक्तिले त्यही स्मृति वा त्यही टिप्पणीबाट टाइप गरेको जानकारी हुन्। बलियो टनेल सिफरले यो बदल्दैन, र उत्पादनको नाममा भएको „सुरक्षित“ शब्दले पनि बदल्दैन।

दाबीलाई संयन्त्रबाट अलग गर्न एउटै प्रश्न चाहिन्छ: प्रत्येक चरण के र कसलाई प्रमाणित गर्छ?

कारक प्रमाण हो, फाँट होइन

बहुकारक प्रमाणीकरणको अर्थ एउटै खाताका लागि एकभन्दा बढी फरक प्रकारका प्रमाण जाँचिनु हो: केही जो प्रयोगकर्तालाई थाहा छ, केही जो उससँग छ, केही जो ऊ आफैं हो। दुवैले एउटै सम्झिएको शृंखला सङ्कलन गर्ने दुई फाँट एकै प्रकारका प्रमाण हुन् जो दुई पटक मागिएको हो। यो उपयोगी नियन्त्रण हुन सक्छ, किनकि दुई स्वतन्त्र रहस्य अनुमान गर्न एउटाभन्दा गाह्रो हुन्छ, तर यो त्यो होइन जो शब्दले वर्णन गर्छ र जोखिम मूल्याङ्कनमा यसलाई त्यसरी गन्नु हुँदैन।

प्रमाणीकरण पक्ष सङ्कलन पक्षजत्तिकै महत्त्वपूर्ण छ. यन्त्रमा बनाइएको कोडले त्यो यन्त्रमा नियन्त्रण तब मात्र प्रमाणित गर्छ जब सर्भरले यसलाई यो खातासँग जोडिएको रहस्यसँग जाँच्छ र दोहोरिएको अस्वीकार गर्छ। सबैका लागि चल्ने साझा कोड, सीमाविहीन कोड, वा त्यस्तो यन्त्रमा स्वीकृत अनुरोध जसले कहिल्यै देखाउँदैन के स्वीकृत हुँदैछ — यी सबै लेबलको सङ्केतभन्दा कमजोर छन्।

त्यसैले जब कसैले VPN मा MFA छ कि भनी सोध्छ, दोस्रो चरणले के प्रमाणित गर्छ र सर्भरले यसलाई कसरी जोड्छ भनी सोध्नुहोस्। यदि जवाफ „त्यही निर्देशिकाबाट दोस्रो पासवर्ड“ हो भने, तपाईंसँग एउटा कारक र नीतिबारे कुराकानी छ, दोस्रो कारक छैन।

प्रमाणपत्रको मामिला पढ्नुपर्छ, अनुमान गर्नु हुँदैन

क्लाइन्ट प्रमाणपत्रसँग पासवर्ड दुई कारकजस्तो देखिन्छ, र हुन पनि सक्छ: प्रमाणपत्र भण्डार वा टोकनमा राखिन्छ, र पासवर्ड सम्झिन्छ। यो एउटा पनि हुन सक्छ, यदि प्रमाणपत्र फाइल सुरक्षित पासवर्डसँगै त्यही प्रोफाइल निर्देशिकामा असुरक्षित छ भने, वा प्रमाणपत्र त्यस्तो यन्त्रलाई जारी गरिएको छ जो धेरै मानिसले व्यक्तिगत जवाफदेहीबिना साझा गर्छन्।

टुङ्गो लगाउनुपर्ने प्रश्न यो हो कि प्रमाणपत्रले कसको वा केको पहिचान गर्छ। यन्त्र प्रमाणपत्रले व्यवस्थित मेसिन उपस्थित छ भनी प्रमाणित गर्छ। प्रयोगकर्ता प्रमाणपत्रले पहिचान प्रमाणित गर्छ। यदि तैनाथीले प्रत्येक ल्यापटपका लागि एउटा प्रमाणपत्र जारी गर्छ र त्यसपछि यसको उपस्थितिलाई व्यक्तिको प्रमाण मान्छ, दोस्रो कारक चुपचाप त्यस्तो हार्डवेयरको विशेषता बनेको छ जो ल्यापटप समात्ने जोकोहीले उत्तराधिकारमा पाउँछ।

यसमध्ये केहीले पनि प्रमाणपत्रलाई नराम्रो विचार बनाउँदैन। यसले यन्त्र आश्वासन र प्रयोगकर्ता आश्वासनबीचको भिन्नतालाई लेख्नयोग्य बनाउँछ, किनकि दुवैले फरक प्रश्नको जवाफ दिन्छन् र दुवैलाई एक गने अनुपालन पानाले के सुरक्षित छ भन्ने बढाइचढाइ गर्नेछ।

गेटवेमाथिको विश्वास र प्रयोगकर्तामाथिको विश्वास फरक समस्या हुन्

दोस्रो कारकले तपाईंले प्रमाणित नगरेको इन्डपोइन्टमा प्रमाणहरू लेख्न सुरक्षित बनाउँदैन। क्लाइन्टले इच्छित गेटवे चिन्नुपर्छ, र त्यसका लागि सर्भर प्रमाणपत्र र क्लाइन्टको विश्वास कन्फिगरेसन छन्। फिसिङ लगइनलाई आक्रमणकारीले नियन्त्रण गर्ने सर्भरमा सारेर काम गर्छ, र त्यहाँ हालिएको सही एक-पटक कोड वास्तविक समयमै साँचो सेवामा पठाइन्छ।

त्यसैले विधिको छनोटले अनुरोधको शब्दभन्दा बढी नतिजा बदल्छ। मानिसले टाइप गरेको कोड विश्वसनीय पृष्ठ देखाउन सक्ने जोकोहीले अगाडि पठाउन सक्छ, तर प्रमाणीकरणलाई विशिष्ट उत्पत्ति र सत्रसँग जोड्ने क्रिप्टोग्राफिक विधिहरू आफ्नै बनावटले यो अग्रेषणको विरोध गर्छन्। तपाईंसँग यीमध्ये कुन छ भन्ने विधिको विशेषता हो, संवादका चरणहरूको सङ्ख्या होइन।

आपूर्तिकर्ताको समर्थित दर्ता र क्लाइन्ट प्रवाह पछ्याउनुहोस्, पासवर्ड फाँटमा थप अनुरोध जोड्नुको सट्टा। घरमै बनाइएको दोस्रो चरण प्रायः बीचमा कतै अवतरण हुन्छ र कारकलाई अर्थपूर्ण बनाउने बन्धनबिना घर्षण थप्छ।

पुनःप्राप्ति दोस्रो अगाडिको ढोका हो

हरेक बलियो लगइनसँग प्रमाणक हराएपछि फर्कने बाटो हुन्छ, र यही बाटो सामान्यतया डिजाइनको सबैभन्दा कमजोर बिन्दु हो। यदि सहायता एजेन्टले अभिलेखमा भएको नम्बरमा फोन गरेपछि दोस्रो कारक रिसेट गर्न सक्छ भने, आक्रमणकारीका लागि सबैभन्दा सस्तो मार्ग लगइन पृष्ठ होइन, सहायता डेस्क हो।

प्रतिस्थापन कसरी हुन्छ, कसले स्वीकृत गर्छ र कस्ता प्रमाण खोजिन्छ भनी सोध्नुहोस्। त्यसपछि जाँच्नुहोस् कि ब्याकअप कोडजस्ता पुनःप्राप्ति सामग्री प्राथमिक प्रमाणबाट अलग राखिन्छ, ताकि एउटा उल्लङ्घनले दुवै नदेओस्। NIST का डिजिटल पहिचान निर्देशिकाहरू प्रमाणकको बन्धन र प्रमाणकको जीवनचक्रलाई आवश्यकताको भाग मान्छन्, पछिको सञ्चालन सम्बन्धी सोच होइन।

मूल्याङ्कनमा के लेख्ने

कारकहरूलाई प्रकारअनुसार वर्णन गर्नुहोस्, प्रत्येकले के प्रमाणित गर्छ भनी नाम दिनुहोस् र यो खातासँग कसरी जोडिएको छ भनी उल्लेख गर्नुहोस्। विधिले अग्रेषणको विरोध गर्छ कि गर्दैन भनी टिप्नुहोस्, र पुनःप्राप्ति मार्गको वर्णन लगइनजत्तिकै सावधानीसाथ गर्नुहोस्।

त्यसपछि तैनाथी त्यो परिभाषाअनुसार बहुकारक छ कि छैन स्पष्ट भन्नुहोस्। „दुई पासवर्ड र एउटा मेसिन प्रमाणपत्र“ इमानदार वाक्य हो, र यसले पाठकलाई „हो“ भन्ने चेकबक्सभन्दा धेरै बढी बताउँछ।