Verkeerd pictogram in de authenticator? Waarom het logo niets bewijst
Een ontbrekend logo zegt niets over wie uw tweede factor heeft. Controleer de inschrijving via het account en upload nooit de QR-code om een afbeelding te repareren.
Grijze vierkanten waar een merklogo hoort te staan, zien er alarmerend uit, en toch zijn ze het verkeerde om op te reageren. De afbeelding die een authenticator tekent, is een weergavedetail dat is afgeleid van de labels in de vermelding, terwijl de beveiligingsvraag is of het geheim in die vermelding bij uw account hoort. Die twee gescheiden houden is wat een cosmetische reparatie onderscheidt van een incident met inloggegevens. Het stopt ook de reparatie die de zaken erger maakt.
Het pictogram en het geheim beantwoorden verschillende vragen
Een vermelding in de authenticator ontstaat uit een sleutel-URI die een gedeeld geheim draagt, samen met een accountlabel en een uitgeversnaam. De app tekent een logo van de uitgever die zij herkent, en een onbekende of gewijzigde uitgever levert simpelweg een algemene afbeelding op. Niets in die weergave vertelt u wie er nog meer een kopie van het geheim heeft, en niets in een correct logo vertelt u dat de vermelding alleen van u is. Lees de weergave als een aanwijzing over een label, niet als een uitspraak over bewaring.
Het omgekeerde geldt ook, en dat is de gevaarlijkere richting. Een overtuigend logo bewijst nog minder dan een ontbrekend.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Schrijf u nooit opnieuw in om een afbeelding te repareren
De reparatie die online rondgaat, is de QR-code opnieuw genereren, wat betekent dat het geheim wordt geëxporteerd en door een ander hulpmiddel wordt gehaald. Dat maakt van een weergaveprobleem een onthulling, omdat de export precies het materiaal bevat dat een aanvaller nodig heeft om geldige codes te maken. Het uploaden naar een webgenerator geeft de tweede factor aan een derde partij in ruil voor een mooier pictogram.
Als het account de codes nog verifieert, is de inschrijving intact en is de weergave cosmetisch. Raadpleeg de eigen documentatie van de authenticator over uitgeverslabels en het zoeken naar pictogrammen, en laat de vermelding met rust. Het label bewerken om een logo af te dwingen is een wijziging van de vermelding om een reden die niets met authenticatie te maken heeft.
Houd de originele QR-afbeelding, de ruwe sleutel-URI en elk handmatig geheim weg van tickets, chatthreads, schermafbeeldingen en openbare issuetrackers. Een schermafbeelding van een installatiepagina bevat vaak meer dan de maker ervan bedoelde.
Wanneer het geheim echt is blootgelegd
Behandel een onthulling als een afzonderlijk incident met een eigen reactie. Gebruik het ondersteunde vervangingsproces van de dienst om een nieuwe authenticator in te schrijven, bevestig dat de nieuwe vermelding geaccepteerde codes oplevert en trek de oude inschrijving op de server in. Het lokaal verwijderen van de vermelding haalt de registratie aan de serverkant niet weg, dus het blootgelegde geheim kan blijven werken tot de dienst anders wordt ingelicht. In die kloof tussen lokaal verwijderen en de serverstatus zit het grootste deel van het risico.
De volgorde is hier belangrijk. Schrijf eerst de vervanging in, controleer die en verwijder pas daarna de oude, omdat de meeste diensten u buitensluiten als de laatste factor verdwijnt. Herstelcodes horen ook in die volgorde, want zij zijn de terugvaloptie wanneer de telefoon niet beschikbaar is.
Controleer of hetzelfde geheim elders is gebruikt. Een sleutel-URI die in een generator is geplakt, is buiten uw controle geraakt, en het account erachter moet als gedeeld worden beschouwd tot de registratie is vervangen.
Verzoeken aan de supportafdeling horen het visuele probleem te beschrijven zonder codes of installatiemateriaal. Alles wat accountspecifiek is, hoort in het geverifieerde kanaal van de aanbieder, niet in een openbare thread.
Zorg voor een herstelroute voordat u verwijdert
Voordat u een werkende vermelding verwijdert, moet u bevestigen dat er een goedgekeurde herstelroute is en dat u die kunt gebruiken. Een cosmetische reparatie die eindigt in een buitensluiting is een slechter resultaat dan het verkeerde logo, en buitensluitingen komen vaak voor wanneer het enige ingeschreven apparaat het apparaat is dat wordt bewerkt.
De acceptatievoorwaarde is smal: een geverifieerde relatie tussen het account en de authenticator, waarbij het inschrijvingsmateriaal privé blijft. Een bekend merkteken maakt geen deel uit van die voorwaarde, en het ontbreken ervan is geen bewijs van compromittering.
Het sleutel-URI-formaat zelf is gedocumenteerd in de specificatie voor sleutel-URI van Google Authenticator, die er ook aan herinnert dat de payload een geheim bevat en geen logo. Lees die voordat u iets exporteert uit een vermelding die u zich niet kunt veroorloven te verliezen.