ਦੋ ਪਾਸਵਰਡ ਬੇਨਤੀਆਂ MFA ਨਹੀਂ: VPN ਲੌਗਇਨ ਕੀ ਜਾਂਚਦਾ ਹੈ

ਲੌਗਇਨ ਸਫ਼ਾ ਪਹਿਲਾਂ ਪਾਸਵਰਡ ਮੰਗਦਾ ਹੈ, ਫਿਰ ਦੂਜਾ ਭੇਤ, ਅਤੇ ਤੈਨਾਤੀ ਨੂੰ ਤੁਰੰਤ ਬਹੁ-ਕਾਰਕ ਕਿਹਾ ਜਾਣ ਲੱਗਦਾ ਹੈ। ਕਦੇ-ਕਦੇ ਇਹ ਸੱਚ ਹੁੰਦਾ ਹੈ। ਅਕਸਰ ਇਹ ਇੱਕੋ ਕਾਰਕ ਹੁੰਦਾ ਹੈ ਜੋ ਦੋ ਵਾਰ ਇਕੱਠਾ ਕੀਤਾ ਗਿਆ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਮੁੱਲ ਉਹੀ ਜਾਣਕਾਰੀ ਹਨ ਜੋ ਉਸੇ ਵਿਅਕਤੀ ਨੇ ਉਸੇ ਯਾਦਦਾਸ਼ਤ ਜਾਂ ਉਸੇ ਨੋਟ ਤੋਂ ਟਾਈਪ ਕੀਤੀ। ਮਜ਼ਬੂਤ ਟਨਲ ਸਾਈਫਰ ਇਹ ਨਹੀਂ ਬਦਲਦਾ, ਅਤੇ ਉਤਪਾਦ ਦੇ ਨਾਮ ਵਿੱਚਲਾ „ਸੁਰੱਖਿਅਤ“ ਸ਼ਬਦ ਵੀ ਨਹੀਂ।

ਦਾਅਵੇ ਨੂੰ ਵਿਧੀ ਤੋਂ ਵੱਖ ਕਰਨ ਲਈ ਇੱਕੋ ਸਵਾਲ ਚਾਹੀਦਾ ਹੈ: ਹਰ ਕਦਮ ਕੀ ਅਤੇ ਕਿਸ ਦੇ ਸਾਮ੍ਹਣੇ ਸਾਬਤ ਕਰਦਾ ਹੈ?

ਕਾਰਕ ਇੱਕ ਸਬੂਤ ਹੈ, ਖੇਤਰ ਨਹੀਂ

ਬਹੁ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਅਰਥ ਹੈ ਕਿ ਇੱਕੋ ਖਾਤੇ ਲਈ ਇੱਕ ਤੋਂ ਵੱਧ ਵੱਖਰੀ ਕਿਸਮ ਦੇ ਸਬੂਤ ਜਾਂਚੇ ਜਾਂਦੇ ਹਨ: ਕੁਝ ਜੋ ਵਰਤੋਂਕਾਰ ਜਾਣਦਾ ਹੈ, ਕੁਝ ਜੋ ਉਸ ਕੋਲ ਹੈ, ਕੁਝ ਜੋ ਉਹ ਆਪ ਹੈ। ਦੋ ਖੇਤਰ ਜੋ ਦੋਵੇਂ ਇੱਕ ਯਾਦ ਰੱਖੀ ਲੜੀ ਇਕੱਠੀ ਕਰਦੇ ਹਨ ਇੱਕੋ ਕਿਸਮ ਦਾ ਸਬੂਤ ਹਨ ਜੋ ਦੋ ਵਾਰ ਮੰਗਿਆ ਗਿਆ। ਇਹ ਲਾਹੇਵੰਦ ਨਿਯੰਤਰਣ ਹੋ ਸਕਦਾ ਹੈ, ਕਿਉਂਕਿ ਦੋ ਸੁਤੰਤਰ ਭੇਤਾਂ ਦਾ ਅੰਦਾਜ਼ਾ ਲਾਉਣਾ ਇੱਕ ਨਾਲੋਂ ਔਖਾ ਹੈ, ਪਰ ਇਹ ਉਹ ਨਹੀਂ ਜੋ ਸ਼ਬਦ ਬਿਆਨ ਕਰਦਾ ਹੈ ਅਤੇ ਜੋਖਮ ਮੁਲਾਂਕਣ ਵਿੱਚ ਇਸਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਨਹੀਂ ਗਿਣਨਾ ਚਾਹੀਦਾ।

ਜਾਂਚ ਪੱਖ ਇਕੱਠਾ ਕਰਨ ਪੱਖ ਜਿੰਨਾ ਹੀ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਡਿਵਾਈਸ ਉੱਤੇ ਬਣਿਆ ਕੋਡ ਉਸ ਡਿਵਾਈਸ ਉੱਤੇ ਕੰਟਰੋਲ ਤਦ ਹੀ ਸਾਬਤ ਕਰਦਾ ਹੈ ਜਦੋਂ ਸਰਵਰ ਇਸਨੂੰ ਇਸ ਖਾਤੇ ਨਾਲ ਜੁੜੇ ਭੇਤ ਦੇ ਸਾਮ੍ਹਣੇ ਜਾਂਚੇ ਅਤੇ ਦੁਹਰਾਓ ਨੂੰ ਰੱਦ ਕਰੇ। ਸਭ ਲਈ ਚੱਲਣ ਵਾਲਾ ਸਾਂਝਾ ਕੋਡ, ਬਿਨਾਂ ਸੀਮਾ ਵਾਲਾ ਕੋਡ, ਜਾਂ ਇਹੋ ਜਿਹੀ ਡਿਵਾਈਸ ਉੱਤੇ ਮਨਜ਼ੂਰ ਬੇਨਤੀ ਜੋ ਕਦੇ ਨਹੀਂ ਦਿਖਾਉਂਦੀ ਕਿ ਕੀ ਮਨਜ਼ੂਰ ਹੋ ਰਿਹਾ ਹੈ — ਇਹ ਸਭ ਲੇਬਲ ਦੇ ਸੰਕੇਤ ਨਾਲੋਂ ਕਮਜ਼ੋਰ ਹਨ।

ਇਸ ਲਈ ਜਦੋਂ ਕੋਈ ਪੁੱਛੇ ਕਿ VPN ਵਿੱਚ MFA ਹੈ ਜਾਂ ਨਹੀਂ, ਤਾਂ ਪੁੱਛੋ ਕਿ ਦੂਜਾ ਕਦਮ ਕੀ ਸਾਬਤ ਕਰਦਾ ਹੈ ਅਤੇ ਸਰਵਰ ਇਸਨੂੰ ਕਿਵੇਂ ਜੋੜਦਾ ਹੈ। ਜੇ ਜਵਾਬ „ਉਸੇ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਦੂਜਾ ਪਾਸਵਰਡ“ ਹੈ, ਤਾਂ ਤੁਹਾਡੇ ਕੋਲ ਇੱਕ ਕਾਰਕ ਅਤੇ ਨੀਤੀ ਬਾਰੇ ਗੱਲਬਾਤ ਹੈ, ਦੂਜਾ ਕਾਰਕ ਨਹੀਂ।

ਸਰਟੀਫਿਕੇਟ ਦਾ ਮਾਮਲਾ ਪੜ੍ਹਨਾ ਚਾਹੀਦਾ ਹੈ, ਮੰਨਣਾ ਨਹੀਂ

ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਪਾਸਵਰਡ ਦੋ ਕਾਰਕ ਲੱਗਦੇ ਹਨ, ਅਤੇ ਹੋ ਵੀ ਸਕਦੇ ਹਨ: ਸਰਟੀਫਿਕੇਟ ਭੰਡਾਰ ਜਾਂ ਟੋਕਨ ਉੱਤੇ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਪਾਸਵਰਡ ਯਾਦ ਰੱਖਿਆ ਜਾਂਦਾ ਹੈ। ਇਹ ਇੱਕ ਵੀ ਹੋ ਸਕਦਾ ਹੈ, ਜੇ ਸਰਟੀਫਿਕੇਟ ਫ਼ਾਈਲ ਸੰਭਾਲੇ ਪਾਸਵਰਡ ਨਾਲ ਉਸੇ ਪ੍ਰੋਫ਼ਾਈਲ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਅਸੁਰੱਖਿਅਤ ਪਈ ਹੋਵੇ, ਜਾਂ ਜੇ ਸਰਟੀਫਿਕੇਟ ਇਹੋ ਜਿਹੀ ਡਿਵਾਈਸ ਨੂੰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੋਵੇ ਜਿਸਨੂੰ ਕਈ ਲੋਕ ਨਿੱਜੀ ਜਵਾਬਦੇਹੀ ਤੋਂ ਬਿਨਾਂ ਸਾਂਝਾ ਕਰਦੇ ਹਨ।

ਤੈਅ ਕਰਨ ਵਾਲਾ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਸਰਟੀਫਿਕੇਟ ਕਿਸ ਦੀ ਜਾਂ ਕਿਸ ਚੀਜ਼ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ। ਡਿਵਾਈਸ ਸਰਟੀਫਿਕੇਟ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਕੋਈ ਪ੍ਰਬੰਧਿਤ ਮਸ਼ੀਨ ਮੌਜੂਦ ਹੈ। ਵਰਤੋਂਕਾਰ ਸਰਟੀਫਿਕੇਟ ਪਛਾਣ ਸਾਬਤ ਕਰਦਾ ਹੈ। ਜੇ ਤੈਨਾਤੀ ਹਰ ਲੈਪਟਾਪ ਲਈ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਇਸਦੀ ਮੌਜੂਦਗੀ ਨੂੰ ਵਿਅਕਤੀ ਦਾ ਸਬੂਤ ਮੰਨਦੀ ਹੈ, ਤਾਂ ਦੂਜਾ ਕਾਰਕ ਚੁੱਪਚਾਪ ਇਹੋ ਜਿਹੇ ਹਾਰਡਵੇਅਰ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਬਣ ਗਿਆ ਹੈ ਜੋ ਲੈਪਟਾਪ ਫੜਨ ਵਾਲੇ ਹਰ ਵਿਅਕਤੀ ਨੂੰ ਵਿਰਾਸਤ ਵਿੱਚ ਮਿਲਦੀ ਹੈ।

ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਮਾੜਾ ਵਿਚਾਰ ਨਹੀਂ ਬਣਾਉਂਦਾ। ਇਹ ਡਿਵਾਈਸ ਭਰੋਸੇ ਅਤੇ ਵਰਤੋਂਕਾਰ ਭਰੋਸੇ ਵਿਚਲੇ ਫ਼ਰਕ ਨੂੰ ਲਿਖਣ ਯੋਗ ਬਣਾਉਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਵੱਖਰੇ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦੇ ਹਨ ਅਤੇ ਜੋ ਪਾਲਣਾ ਸ਼ੀਟ ਇਹਨਾਂ ਨੂੰ ਇੱਕ ਗਿਣਦੀ ਹੈ ਉਹ ਵਧਾ-ਚੜ੍ਹਾ ਕੇ ਦੱਸੇਗੀ ਕਿ ਕੀ ਸੁਰੱਖਿਅਤ ਹੈ।

ਗੇਟਵੇ ਉੱਤੇ ਭਰੋਸਾ ਅਤੇ ਵਰਤੋਂਕਾਰ ਉੱਤੇ ਭਰੋਸਾ ਵੱਖਰੀਆਂ ਸਮੱਸਿਆਵਾਂ ਹਨ

ਦੂਜਾ ਕਾਰਕ ਇਹੋ ਜਿਹੇ ਐਂਡਪੌਇੰਟ ਵਿੱਚ ਪ੍ਰਮਾਣ ਪੱਤਰ ਲਿਖਣ ਨੂੰ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਬਣਾਉਂਦਾ ਜਿਸਦੀ ਤੁਸੀਂ ਜਾਂਚ ਨਹੀਂ ਕੀਤੀ। ਕਲਾਇੰਟ ਨੂੰ ਇੱਛਤ ਗੇਟਵੇ ਪਛਾਣਨਾ ਪੈਂਦਾ ਹੈ, ਅਤੇ ਇਸ ਲਈ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕਲਾਇੰਟ ਦੀ ਭਰੋਸਾ ਸੰਰਚਨਾ ਹਨ। ਫਿਸ਼ਿੰਗ ਲੌਗਇਨ ਨੂੰ ਹਮਲਾਵਰ ਵੱਲੋਂ ਕੰਟਰੋਲ ਕੀਤੇ ਸਰਵਰ ਉੱਤੇ ਭੇਜ ਕੇ ਕੰਮ ਕਰਦੀ ਹੈ, ਅਤੇ ਉੱਥੇ ਦਾਖਲ ਕੀਤਾ ਸਹੀ ਇੱਕ-ਵਾਰ ਕੋਡ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਹੀ ਅਸਲ ਸੇਵਾ ਨੂੰ ਭੇਜ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ।

ਇਸ ਲਈ ਵਿਧੀ ਦੀ ਚੋਣ ਬੇਨਤੀ ਦੇ ਸ਼ਬਦਾਂ ਨਾਲੋਂ ਵੱਧ ਨਤੀਜਾ ਬਦਲਦੀ ਹੈ। ਕਿਸੇ ਵਿਅਕਤੀ ਵੱਲੋਂ ਟਾਈਪ ਕੀਤਾ ਕੋਡ ਹਰ ਉਹ ਵਿਅਕਤੀ ਭੇਜ ਸਕਦਾ ਹੈ ਜੋ ਭਰੋਸੇਯੋਗ ਸਫ਼ਾ ਦਿਖਾ ਸਕਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਖਾਸ ਸਰੋਤ ਅਤੇ ਸੈਸ਼ਨ ਨਾਲ ਜੋੜਨ ਵਾਲੀਆਂ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਵਿਧੀਆਂ ਆਪਣੀ ਬਣਾਵਟ ਕਾਰਨ ਇਸ ਭੇਜਣ ਦਾ ਵਿਰੋਧ ਕਰਦੀਆਂ ਹਨ। ਤੁਹਾਡੇ ਕੋਲ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੀ ਹੈ ਇਹ ਵਿਧੀ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ, ਗੱਲਬਾਤ ਦੇ ਕਦਮਾਂ ਦੀ ਗਿਣਤੀ ਨਹੀਂ।

ਸਪਲਾਇਰ ਦੀ ਸਮਰਥਿਤ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਅਤੇ ਕਲਾਇੰਟ ਪ੍ਰਵਾਹ ਦੀ ਪਾਲਣਾ ਕਰੋ, ਪਾਸਵਰਡ ਖੇਤਰ ਉੱਤੇ ਵਾਧੂ ਬੇਨਤੀ ਲਾਉਣ ਦੀ ਥਾਂ। ਘਰ ਬਣਾਇਆ ਦੂਜਾ ਕਦਮ ਆਮ ਤੌਰ ਉੱਤੇ ਵਿਚਕਾਰ ਕਿਤੇ ਉਤਰਦਾ ਹੈ ਅਤੇ ਕਾਰਕ ਨੂੰ ਅਰਥਪੂਰਨ ਬਣਾਉਣ ਵਾਲੇ ਬੰਧਨ ਤੋਂ ਬਿਨਾਂ ਰਗੜ ਜੋੜਦਾ ਹੈ।

ਮੁੜ-ਪ੍ਰਾਪਤੀ ਦੂਜਾ ਅਗਲਾ ਦਰਵਾਜ਼ਾ ਹੈ

ਹਰ ਮਜ਼ਬੂਤ ਲੌਗਇਨ ਕੋਲ ਪ੍ਰਮਾਣਕ ਗੁੰਮ ਹੋਣ ’ਤੇ ਵਾਪਸੀ ਦਾ ਰਾਹ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਰਾਹ ਆਮ ਤੌਰ ਉੱਤੇ ਡਿਜ਼ਾਈਨ ਦਾ ਸਭ ਤੋਂ ਕਮਜ਼ੋਰ ਬਿੰਦੂ ਹੁੰਦਾ ਹੈ। ਜੇ ਸਹਾਇਤਾ ਏਜੰਟ ਦਰਜ ਨੰਬਰ ’ਤੇ ਫੋਨ ਤੋਂ ਬਾਅਦ ਦੂਜਾ ਕਾਰਕ ਰੀਸੈਟ ਕਰ ਸਕਦਾ ਹੈ, ਤਾਂ ਹਮਲਾਵਰ ਲਈ ਸਭ ਤੋਂ ਸਸਤਾ ਰਾਹ ਲੌਗਇਨ ਸਫ਼ਾ ਨਹੀਂ, ਸਹਾਇਤਾ ਡੈਸਕ ਹੈ।

ਪੁੱਛੋ ਕਿ ਤਬਦੀਲੀ ਕਿਵੇਂ ਹੁੰਦੀ ਹੈ, ਕੌਣ ਮਨਜ਼ੂਰ ਕਰਦਾ ਹੈ ਅਤੇ ਕਿਹੜੇ ਸਬੂਤ ਮੰਗੇ ਜਾਂਦੇ ਹਨ। ਫਿਰ ਜਾਂਚੋ ਕਿ ਬੈਕਅਪ ਕੋਡ ਵਰਗੀ ਮੁੜ-ਪ੍ਰਾਪਤੀ ਸਮੱਗਰੀ ਪ੍ਰਾਇਮਰੀ ਪ੍ਰਮਾਣ ਨਾਲੋਂ ਵੱਖਰੀ ਰੱਖੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਜੋ ਇੱਕ ਉਲੰਘਣ ਦੋਵੇਂ ਨਾ ਦੇ ਦੇਵੇ। NIST ਦੀਆਂ ਡਿਜੀਟਲ ਪਛਾਣ ਹਦਾਇਤਾਂ ਜਾਂਚਕਰਤਾ ਦੇ ਬੰਧਨ ਅਤੇ ਪ੍ਰਮਾਣਕ ਦੇ ਜੀਵਨ ਚੱਕਰ ਨੂੰ ਲੋੜ ਦਾ ਹਿੱਸਾ ਮੰਨਦੀਆਂ ਹਨ, ਬਾਅਦ ਦੀ ਕਾਰਜਸ਼ੀਲ ਸੋਚ ਨਹੀਂ।

ਮੁਲਾਂਕਣ ਵਿੱਚ ਕੀ ਲਿਖਣਾ ਹੈ

ਕਾਰਕਾਂ ਨੂੰ ਕਿਸਮ ਅਨੁਸਾਰ ਬਿਆਨ ਕਰੋ, ਨਾਮ ਲਵੋ ਕਿ ਹਰ ਇੱਕ ਕੀ ਸਾਬਤ ਕਰਦਾ ਹੈ ਅਤੇ ਦੱਸੋ ਕਿ ਇਹ ਖਾਤੇ ਨਾਲ ਕਿਵੇਂ ਜੁੜਿਆ ਹੈ। ਨੋਟ ਕਰੋ ਕਿ ਵਿਧੀ ਭੇਜਣ ਦਾ ਵਿਰੋਧ ਕਰਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਮੁੜ-ਪ੍ਰਾਪਤੀ ਰਾਹ ਦਾ ਵਰਣਨ ਲੌਗਇਨ ਜਿੰਨੀ ਹੀ ਸਾਵਧਾਨੀ ਨਾਲ ਕਰੋ।

ਫਿਰ ਸਾਫ਼ ਕਹੋ ਕਿ ਤੈਨਾਤੀ ਉਸ ਪਰਿਭਾਸ਼ਾ ਅਨੁਸਾਰ ਬਹੁ-ਕਾਰਕ ਹੈ ਜਾਂ ਨਹੀਂ। „ਦੋ ਪਾਸਵਰਡ ਅਤੇ ਇੱਕ ਮਸ਼ੀਨ ਸਰਟੀਫਿਕੇਟ“ ਇੱਕ ਇਮਾਨਦਾਰ ਵਾਕ ਹੈ, ਅਤੇ ਇਹ ਪਾਠਕ ਨੂੰ „ਹਾਂ“ ਕਹਿਣ ਵਾਲੇ ਚੈੱਕਬਾਕਸ ਨਾਲੋਂ ਬਹੁਤ ਵੱਧ ਦੱਸਦਾ ਹੈ।