ਕੀ ਉਸੇ ਲੈਪਟਾਪ ਉੱਤੇ TOTP ਸੱਚਮੁੱਚ ਦੂਜਾ ਕਾਰਕ ਹੈ?
VPN ਲੈਪਟਾਪ ਉੱਤੇ ਕੋਡ ਜਨਰੇਟਰ ਉਸੇ ਸਮਝੌਤਾ-ਸੀਮਾ ਦੇ ਅੰਦਰ ਬੈਠਦਾ ਕਬਜ਼ਾ ਕਾਰਕ ਹੈ। ਪਹਿਲਾਂ ਬੀਜ ਅਤੇ ਸ਼ੈਸ਼ਨ ਦਾ ਪਤਾ ਲਗਾਓ।
ਅਜਿਹੇ VPN ਕਲਾਇੰਟ ਵਿੱਚ ਸਾਈਨ ਇਨ ਕਰੋ ਜੋ ਪਹਿਲਾਂ ਪਾਸਵਰਡ ਅਤੇ ਫਿਰ ਛੇ ਅੰਕਾਂ ਦਾ ਕੋਡ ਮੰਗਦਾ ਹੈ, ਅਤੇ ਦੋ ਬੇਨਤੀਆਂ ਦੋ ਸੁਤੰਤਰ ਰੁਕਾਵਟਾਂ ਵਾਂਗ ਦਿਸਦੀਆਂ ਹਨ। ਕਾਰਕ ਦੀ ਕਿਸਮ ਨਾਲ ਗਿਣੀਏ ਤਾਂ ਉਹ ਇਵੇਂ ਹੀ ਹਨ: ਪਾਸਵਰਡ ਉਹ ਹੈ ਜੋ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ, ਕੋਡ ਉਹ ਹੈ ਜੋ ਤੁਹਾਡੇ ਕੋਲ ਹੈ। ਇੱਕ ਸਮਝੌਤਾ-ਗ੍ਰਸਤ ਲੈਪਟਾਪ ਕੀ ਖੋਲ੍ਹਦਾ ਹੈ, ਇਸ ਨਾਲ ਗਿਣੀਏ ਤਾਂ ਉਹ ਇੱਕ ਸੀਮਾ ਵਿੱਚ ਢਹਿ ਸਕਦੇ ਹਨ, ਕਿਉਂਕਿ ਜੋ ਤੁਹਾਡੇ ਕੋਲ ਹੈ ਉਹ ਉਸ ਮਸ਼ੀਨ ਦੀ ਫਾਈਲ ਹੈ ਜਿਸ ਵਿੱਚ ਤੁਸੀਂ ਟਾਈਪ ਕਰ ਰਹੇ ਹੋ। ਇਹਨਾਂ ਦੋ ਗਿਣਤੀਆਂ ਵਿਚਕਾਰਲਾ ਫ਼ਰਕ ਇਸ ਸਮੀਖਿਆ ਦਾ ਵਿਸ਼ਾ ਹੈ।
ਪਾਸਵਰਡ ਖੇਤਰ ਤੋਂ ਕੋਡ ਬਾਕਸ ਤੱਕ ਇੱਕ ਲੌਗਇਨ ਦਾ ਪਤਾ ਲਗਾਓ
ਲੇਬਲ ਨਹੀਂ, ਕ੍ਰਮ ਵੇਖੋ। ਕਲਾਇੰਟ ਪਾਸਵਰਡ ਭੇਜਦਾ ਹੈ, ਸਰਵਰ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਕਿ ਦੂਜਾ ਸਬੂਤ ਲੋੜੀਂਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ ਛੇ ਜਾਂ ਅੱਠ ਅੰਕਾਂ ਲਈ ਖੇਤਰ ਖੋਲ੍ਹਦਾ ਹੈ। ਉਸ ਖੇਤਰ ਪਿੱਛੇ ਸਾਂਝਾ ਭੇਤ ਅਤੇ ਘੜੀ ਰੱਖਣ ਵਾਲੀ ਜਨਰੇਟਰ ਐਪਲੀਕੇਸ਼ਨ ਹੈ। ਇਹ ਭੇਤ ਅਤੇ ਮੌਜੂਦਾ ਸਮਾਂ-ਕਦਮ ਤੋਂ ਮੁੱਲ ਗਿਣਦੀ ਹੈ, ਅਤੇ ਸਰਵਰ ਭੇਤ ਦੀ ਆਪਣੀ ਨਕਲ ਤੋਂ ਉਹੀ ਮੁੱਲ ਦੁਬਾਰਾ ਗਿਣਦਾ ਹੈ।
ਦੋਵੇਂ ਧਿਰਾਂ ਕੋਲ ਉਹੀ ਕੁੰਜੀ-ਸਮੱਗਰੀ ਹੁੰਦੀ ਹੈ। ਕੋਡ ਨੂੰ ਭੇਤ ਕਹਿੰਦਿਆਂ ਲੋਕ ਜੋ ਖੁੰਝਾ ਦਿੰਦੇ ਹਨ ਉਹ ਇਹੋ ਸਮਮਿਤੀ ਹੈ: ਸੇਵਾਦਾਤਾ ਵੀ ਤੁਹਾਡੇ ਕੋਡ ਬਣਾ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਬੀਜ ਕਿਸੇ ਵੀ ਇੱਕਲੇ ਆਉਟਪੁੱਟ ਨਾਲੋਂ ਵੱਧ ਕੀਮਤੀ ਹੈ। ਲੀਕ ਹੋਇਆ ਕੋਡ ਇੱਕ-ਵਾਰ ਦਾ ਮੁੱਲ ਹੈ; ਉਹ ਬਣਾਉਣ ਵਾਲਾ ਬੀਜ ਪੱਕਾ ਪਛਾਣ-ਪੱਤਰ ਹੈ ਜੋ ਬਦਲੇ ਜਾਣ ਤੱਕ ਵੈਧ ਮੁੱਲ ਬਣਾਉਂਦਾ ਰਹਿੰਦਾ ਹੈ।
ਸਰਗਰਮ ਕਰਨਾ ਪ੍ਰਵਾਹ ਦਾ ਦੂਜਾ ਅੱਧ ਹੈ। ਜੋ ਜਨਰੇਟਰ ਡਿਵਾਈਸ ਪਾਸਕੋਡ, ਬਾਇਓਮੈਟ੍ਰਿਕ ਬੇਨਤੀ ਜਾਂ ਐਨਕ੍ਰਿਪਟਿਡ ਕੰਟੇਨਰ ਨਾਲ ਖੁੱਲ੍ਹਦਾ ਹੈ, ਉਹ ਕਬਜ਼ੇ ਦਾ ਸਬੂਤ ਅਤੇ ਕੁਝ ਹੋਰ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਜੋ ਐਨਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਿਨਾਂ ਚੱਲਦਾ ਹੈ ਅਤੇ ਆਪਰੇਟਿੰਗ ਸਿਸਟਮ ਸ਼ੈਸ਼ਨ ਨਾਲ ਖੁੱਲ੍ਹਦਾ ਹੈ, ਉਹ ਸਿਰਫ਼ ਫਾਈਲ ਪੇਸ਼ ਕਰਦਾ ਹੈ। ਉਹੀ ਐਪਲੀਕੇਸ਼ਨ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਕਿਵੇਂ ਹੋਈ ਇਸ ਆਧਾਰ ’ਤੇ ਦੋਵੇਂ ਪ੍ਰਬੰਧ ਦੇ ਸਕਦੀ ਹੈ, ਇਸ ਲਈ ਤੈਨਾਤੀ ਦਾ ਫ਼ੈਸਲਾ ਉਸੇ ਕਦਮ ਵਿੱਚ ਹੈ, ਐਪ ਦੇ ਮਾਰਕੀਟਿੰਗ ਪੰਨੇ ਵਿੱਚ ਨਹੀਂ।
ਕੋਡ ਅਸਲ ਵਿੱਚ ਕੀ ਸਾਬਤ ਕਰਦਾ ਹੈ, ਇਹ ਤੈਅ ਕਰੋ
ਮਿਆਰਾਂ ਦੀ ਭਾਸ਼ਾ ਇੱਥੇ ਅਸਧਾਰਨ ਰੂਪ ਨਾਲ ਸਪਸ਼ਟ ਹੈ, ਅਤੇ ਸਿੱਧੀ ਪੜ੍ਹਨ ਯੋਗ ਹੈ। NIST ਦੀ ਪ੍ਰਮਾਣਕ ਮਾਰਗਦਰਸ਼ਿਕਾ ਸਾਫ਼ਟਵੇਅਰ-ਆਧਾਰਿਤ OTP ਜਨਰੇਟਰਾਂ ਨੂੰ ਪ੍ਰਮਾਣਕ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕਰਦੀ ਹੈ, ਸਰਗਰਮ ਕਰਨ ਵਾਲੇ ਕਾਰਕ ਵਾਲੇ ਬਹੁ-ਕਾਰਕ OTP ਤੋਂ ਇੱਕ-ਕਾਰਕ OTP ਨੂੰ ਵੱਖ ਕਰਦੀ ਹੈ, ਅਤੇ ਕਹਿੰਦੀ ਹੈ ਕਿ OTP ਪ੍ਰਮਾਣੀਕਰਨ ਫਿਸ਼ਿੰਗ-ਪ੍ਰਤੀਰੋਧੀ ਨਹੀਂ ਹੈ। ਇਹਨਾਂ ਤਿੰਨਾਂ ਧਾਰਾਵਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਬੇਨਤੀ ਬਾਰੇ ਤੁਸੀਂ ਕੀ ਦਾਅਵਾ ਕਰ ਸਕਦੇ ਹੋ, ਇਹ ਬਦਲਦੀ ਹੈ।
ਫਿਸ਼ਿੰਗ-ਪ੍ਰਤੀਰੋਧੀ ਨਾ ਹੋਣਾ ਸਭ ਤੋਂ ਤਿੱਖਾ ਕਿਨਾਰਾ ਹੈ। ਖੇਤਰ ਵਿੱਚ ਟਾਈਪ ਕੀਤਾ ਕੋਡ ਕਿਸੇ ਹੋਰ ਦੇ ਖੇਤਰ ਵਿੱਚ, ਅਸਲ ਸਮੇਂ ਵਿੱਚ, ਉਸ ਵਿਅਕਤੀ ਵੱਲੋਂ ਟਾਈਪ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਿਸ ਨੂੰ ਇਹ ਕਰਨ ਲਈ ਮਨਾਇਆ ਗਿਆ ਹੋਵੇ। ਖਿੜਕੀ ਛੋਟੀ ਹੈ, ਜੋ ਲਾਹੇਵੰਦ ਕੋਸ਼ਿਸ਼ਾਂ ਦੀ ਗਿਣਤੀ ਘਟਾਉਂਦੀ ਹੈ ਪਰ ਤਕਨੀਕ ਬੰਦ ਨਹੀਂ ਕਰਦੀ। ਜੇ ਤੁਹਾਡੀ ਲੋੜ ਵਿੱਚ ਇਸ ਦਾ ਵਿਰੋਧ ਸ਼ਾਮਲ ਹੈ, ਤਾਂ ਜਨਰੇਟਰ ਕਿੱਥੇ ਵੀ ਚੱਲੇ, OTP ਗਲਤ ਪ੍ਰਾਇਮਰੀ ਹੈ।
ਇੱਕ-ਕਾਰਕ ਬਨਾਮ ਬਹੁ-ਕਾਰਕ ਦੂਜਾ ਭੇਦ ਹੈ। ਸਰਗਰਮ ਕਰਨ ਦੇ ਕਦਮ ਤੋਂ ਬਿਨਾਂ ਦਿਸਣ ਵਾਲਾ ਕੋਡ ਫਾਈਲ ’ਤੇ ਕਬਜ਼ਾ ਸਾਬਤ ਕਰਦਾ ਹੈ ਅਤੇ ਹੋਰ ਕੁਝ ਨਹੀਂ, ਅਤੇ ਫਾਈਲ ਉਸ ਖਾਤੇ ਜਿੰਨੀ ਮਜ਼ਬੂਤ ਹੀ ਹੁੰਦੀ ਹੈ ਜੋ ਇਸ ਨੂੰ ਪੜ੍ਹ ਸਕਦਾ ਹੈ। ਸਰਗਰਮ ਕਰਨ ਵਾਲਾ ਕਾਰਕ ਜੋੜੋ ਤਾਂ ਦਾਅਵਾ ਸੁਧਰਦਾ ਹੈ, ਫਿਰ ਵੀ ਇਹ ਲੌਗਇਨ ’ਤੇ ਪੇਸ਼ ਕੀਤੇ ਸਬੂਤ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਇਸ ਨੂੰ ਬਣਾਉਣ ਵਾਲੀ ਮਸ਼ੀਨ ਦੇ ਵੱਖਰੇਪਣ ਦਾ ਨਹੀਂ।
ਸਮਝੌਤਾ-ਗ੍ਰਸਤ ਲੈਪਟਾਪ ਕਿੱਥੋਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਵੇਖੋ
ਵਰਕਸਟੇਸ਼ਨ ’ਤੇ ਕੋਡ ਚਲਾਉਣ ਦੀ ਸਮਰੱਥਾ ਵਾਲਾ ਹਮਲਾਵਰ ਸਿਰਫ਼ ਉਸ ਖੇਤਰ ਨੂੰ ਪੜ੍ਹਨ ਤੱਕ ਸੀਮਿਤ ਨਹੀਂ ਜਿਸ ਵਿੱਚ ਤੁਸੀਂ ਟਾਈਪ ਕਰ ਰਹੇ ਹੋ। ਸਫਲ ਲੌਗਇਨ ਤੋਂ ਬਾਅਦ ਸਥਾਪਿਤ ਸ਼ੈਸ਼ਨ ਆਮ ਤੌਰ ’ਤੇ ਟੋਕਨ ਜਾਂ ਕੂਕੀ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਟੋਕਨ ਬਿਨਾਂ ਕਿਸੇ ਕੋਡ ਦੇ ਹੋਰ ਮਸ਼ੀਨ ਤੋਂ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਜੇ ਇਹੀ ਉਹ ਸਮਰੱਥਾ ਹੈ ਜਿਸ ਦੇ ਵਿਰੁੱਧ ਤੁਸੀਂ ਬਚਾਅ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ ਲੌਗਇਨ ’ਤੇ ਦੂਜੀ ਬੇਨਤੀ ਜੋੜਨਾ ਹਮਲੇ ਦੇ ਕਦਮਾਂ ਦੀ ਗਿਣਤੀ ਬਦਲਦਾ ਹੈ, ਨਤੀਜਾ ਨਹੀਂ।
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
ਤੀਜੇ ਕਾਲਮ ਨੂੰ ਇਮਾਨਦਾਰ ਕਾਲਮ ਵਜੋਂ ਪੜ੍ਹੋ। ਉੱਪਰਲਾ ਹਰ ਪ੍ਰਬੰਧ ਵਰਕਸਟੇਸ਼ਨ ਦੀ ਭਰੋਸਾ-ਸੀਮਾ ਅੰਦਰ ਕੁਝ ਛੱਡਦਾ ਹੈ, ਕਿਉਂਕਿ ਸ਼ੈਸ਼ਨ ਉੱਥੇ ਹੀ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਜੋ ਬਦਲਦਾ ਹੈ ਉਹ ਇਹ ਹੈ ਕਿ ਲੰਮੇ ਸਮੇਂ ਦਾ ਭੇਤ ਉਸ ਸੀਮਾ ਨਾਲ ਜਾਂਦਾ ਹੈ ਜਾਂ ਬਾਹਰ ਰਹਿੰਦਾ ਹੈ, ਅਤੇ ਸਬੂਤ ਕਿਸੇ ਖ਼ਾਸ ਮੂਲ ਨਾਲ ਬੱਝਾ ਹੈ ਜਾਂ ਨਹੀਂ ਤਾਂ ਜੋ ਨਕਲੀ ਪੰਨਾ ਇਸ ਨੂੰ ਅੱਗੇ ਨਾ ਭੇਜ ਸਕੇ।
ਦੋ ਛੋਟੇ ਵੇਰਵੇ ਉਸੇ ਤਸਵੀਰ ਦੇ ਹਨ। ਕੋਡ ਆਪਣੀ ਮਨਜ਼ੂਰੀ-ਖਿੜਕੀ ਦੌਰਾਨ ਵੈਧ ਰਹਿੰਦਾ ਹੈ, ਅਕਸਰ ਤੀਹ ਸਕਿੰਟ ਅਤੇ ਘੜੀ ਦੇ ਵਿਚਲਨ ਲਈ ਸਹਿਣਸ਼ੀਲਤਾ, ਇਸ ਲਈ ਫੜਿਆ ਮੁੱਲ ਉਸ ਖਿੜਕੀ ਅੰਦਰ ਦੁਬਾਰਾ ਚਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ, ਜਦ ਤੱਕ ਤਸਦੀਕਕਰਤਾ ਦੁਬਾਰਾ ਵਰਤੋਂ ਤੋਂ ਇਨਕਾਰ ਨਾ ਕਰੇ। ਅਤੇ ਨਵਾਂ ਜਨਰੇਟਰ ਸਥਾਪਿਤ ਕਰਨਾ ਪਹਿਲਾਂ ਹੀ ਪ੍ਰਮਾਣਿਤ ਸ਼ੈਸ਼ਨਾਂ ਨੂੰ ਖ਼ਤਮ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਪੁਰਾਣਾ ਸ਼ੈਸ਼ਨ ਉਸ ਪਛਾਣ-ਪੱਤਰ ਬਦਲਾਅ ਨਾਲੋਂ ਵੱਧ ਚਿਰ ਜੀਵਦਾ ਹੈ ਜਿਸ ਨੂੰ ਘਟਨਾ ਨੂੰ ਕਾਬੂ ਕਰਨਾ ਸੀ।
ਜਨਰੇਟਰ ਨੂੰ ਸਿਰਫ਼ ਉੱਥੇ ਭੇਜੋ ਜਿੱਥੇ ਵੱਖਰਾਪਣ ਮਦਦ ਕਰਦਾ ਹੈ
ਕੋਡ ਜਨਰੇਟਰ ਨੂੰ ਫੋਨ ’ਤੇ ਰੱਖਣਾ ਇੱਕ ਖ਼ਾਸ ਅਸਫਲਤਾ ਲਈ ਸੱਚੀ ਸੁਧਾਰ ਹੈ: ਚੋਰੀ ਹੋਇਆ ਲੈਪਟਾਪ ਹੁਣ ਦੋਵੇਂ ਸਬੂਤ ਨਹੀਂ ਢੋਂਦਾ। ਪਰ ਲੈਪਟਾਪ ’ਤੇ ਸ਼ੈਸ਼ਨ-ਅਗਵਾਹ ਲਈ ਇਹ ਕੁਝ ਨਹੀਂ ਕਰਦਾ, ਫਿਸ਼ਿੰਗ ਪੰਨੇ ਵਿੱਚ ਕੋਡ ਟਾਈਪ ਕਰਨ ਵਾਲੇ ਵਰਤੋਂਕਾਰ ਲਈ ਕੁਝ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਇੱਕ ਵਾਰ ਛਾਪ ਕੇ ਨੋਟਸ ਐਪ ਵਿੱਚ ਫੋਟੋ ਖਿੱਚੇ ਗਏ ਰਿਕਵਰੀ ਕੋਡਾਂ ਲਈ ਵੀ ਕੁਝ ਨਹੀਂ ਕਰਦਾ।
ਇਸ ਲਈ ਸੰਦ ਚੁਣਨ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜ ਲਿਖੋ। ਜੇ ਲਕਸ਼ ਲੀਕ ਹੋਏ ਪਾਸਵਰਡ ਦੇ ਵਿਰੁੱਧ ਵਾਧੂ ਸਬੂਤ ਹੈ, ਤਾਂ ਇਹ ਸਪਸ਼ਟ ਕਹੋ, ਅਤੇ ਉਸੇ ਡਿਵਾਈਸ ਦੀ ਐਪ ਇਹ ਪਹਿਲਾਂ ਹੀ ਦਿੰਦੀ ਹੈ। ਜੇ ਲਕਸ਼ VPN ਵਰਕਸਟੇਸ਼ਨ ਦੇ ਸਮਝੌਤੇ ਪ੍ਰਤੀ ਲਚਕਤਾ ਹੈ, ਤਾਂ ਉਸ ਹਮਲਾਵਰ-ਸਮਰੱਥਾ ਦਾ ਨਾਮ ਲਵੋ ਅਤੇ ਉਸ ਲਈ ਮੁਲਾਂਕਿਤ ਪ੍ਰਬੰਧ ਚੁਣੋ, ਅਤੇ ਫਿਸ਼ਿੰਗ ਲੋੜ ਨੂੰ ਮੰਨਣ ਦੀ ਥਾਂ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਦੱਸੋ।
ਫਿਰ ਕਾਰਜਕਾਰੀ ਅੱਧ ਸੰਭਾਲੋ, ਜੋ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ ਕਿਸੇ ਘਟਨਾ ਦੇ ਸੰਪਰਕ ਵਿੱਚ ਟਿਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਡਿਵਾਈਸ ਗੁਆਉਣ ਲਈ ਦਸਤਾਵੇਜ਼ੀ ਬਦਲੀ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ, ਪਛਾਣ-ਪੱਤਰ ਘੁਮਾਉਣ ਲਈ ਸਰਗਰਮ ਸ਼ੈਸ਼ਨ ਰੱਦ ਕਰਨੇ ਚਾਹੀਦੇ ਹਨ, ਅਤੇ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਸਮੱਗਰੀ ਨੂੰ ਬੀਜ ਜਿੰਨੀ ਹੀ ਸੁਰੱਖਿਆ ਚਾਹੀਦੀ ਹੈ, ਕਿਉਂਕਿ ਅਸੁਰੱਖਿਅਤ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਨਕਲ ਹਮਲਾਵਰ ਨੂੰ ਉਹੀ ਭਵਿੱਖੀ ਕੋਡ ਛੋਟੇ ਮਾਰਗ ਨਾਲ ਦੇ ਦਿੰਦੀ ਹੈ। ਇਹ ਚਾਰ ਮਦਾਂ ਗਿਣਨਾ ਉਸ ਬਹਿਸ ਨਾਲੋਂ ਵੱਧ ਲਾਹੇਵੰਦ ਹੈ ਕਿ ਉਸੇ ਡਿਵਾਈਸ ਦੇ ਟੋਕਨ ਚੰਗੇ ਹਨ ਜਾਂ ਬੇਕਾਰ।