Zły ikon aplikacji uwierzytelniającej? Dlaczego logo niczego nie dowodzi
Brakujące logo nic nie mówi o tym, kto ma drugi składnik. Sprawdź rejestrację przez konto i nigdy nie przesyłaj kodu QR, aby naprawić obrazek.
Szare kwadraty tam, gdzie powinno być logo marki, wyglądają alarmująco, a jednak to niewłaściwa rzecz, na którą należy reagować. Obraz rysowany przez aplikację uwierzytelniającą jest szczegółem wyświetlania wyprowadzonym z etykiet wpisu, a pytanie o bezpieczeństwo brzmi, czy sekret w tym wpisie należy do twojego konta. Rozdzielenie tych dwóch rzeczy odróżnia naprawę kosmetyczną od incydentu z poświadczeniami. Zatrzymuje też naprawę, która pogarsza sprawę.
Ikona i sekret odpowiadają na różne pytania
Wpis w aplikacji uwierzytelniającej powstaje z URI klucza, który niesie współdzielony sekret wraz z etykietą konta i nazwą wystawcy. Aplikacja rysuje logo wystawcy, którego rozpoznaje, a nieznany lub zmieniony wystawca po prostu tworzy ogólny obraz. Nic w tym wyświetlaniu nie mówi, kto jeszcze ma kopię sekretu, i nic w poprawnym logo nie mówi, że wpis jest tylko twój. Czytaj wyświetlanie jako wskazówkę o etykiecie, nie jako stwierdzenie o przechowywaniu.
Odwrotnie też jest prawdą, i to jest kierunek groźniejszy. Przekonujące logo dowodzi jeszcze mniej niż brakujące.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Nigdy nie rejestruj się ponownie, aby naprawić obrazek
Naprawa krążąca w sieci to ponowne wygenerowanie kodu QR, co oznacza wyeksportowanie sekretu i przepuszczenie go przez inne narzędzie. To zamienia problem wyświetlania w ujawnienie, ponieważ eksport zawiera dokładnie ten materiał, którego potrzebuje atakujący do wytworzenia ważnych kodów. Przesłanie go do generatora internetowego oddaje drugi składnik stronie trzeciej w zamian za ładniejszą ikonę.
Jeśli konto nadal weryfikuje kody, rejestracja jest nienaruszona, a wyświetlanie jest kosmetyczne. Zajrzyj do dokumentacji samej aplikacji uwierzytelniającej o etykietach wystawcy i wyszukiwaniu ikon i zostaw wpis w spokoju. Edytowanie etykiety, aby wymusić logo, jest zmianą wpisu z powodu, który nie ma nic wspólnego z uwierzytelnianiem.
Trzymaj oryginalny obraz QR, surowy URI klucza i każdy ręczny sekret z dala od zgłoszeń, wątków czatu, zrzutów ekranu i publicznych systemów śledzenia problemów. Zrzut ekranu strony konfiguracji często zawiera więcej, niż zamierzała osoba, która go zrobiła.
Gdy sekret rzeczywiście został ujawniony
Traktuj ujawnienie jako odrębny incydent z własną reakcją. Użyj obsługiwanego przez usługę procesu wymiany, aby zarejestrować nową aplikację uwierzytelniającą, potwierdź, że nowy wpis generuje akceptowane kody, i wycofaj starą rejestrację na serwerze. Usunięcie wpisu lokalnie nie usuwa rejestracji po stronie serwera, więc ujawniony sekret może nadal działać, dopóki usługa nie zostanie poinformowana inaczej. Właśnie w tej luce między lokalnym usunięciem a stanem serwera leży większość ryzyka.
Kolejność ma tu znaczenie. Najpierw zarejestruj zamiennik, zweryfikuj go, a dopiero potem usuń stary, ponieważ większość usług zablokuje ci dostęp, jeśli zniknie ostatni składnik. Kody odzyskiwania też należą do tej kolejności, bo są drogą zapasową, gdy telefon jest niedostępny.
Sprawdź, czy ten sam sekret nie był użyty gdzie indziej. URI klucza wklejony do generatora opuścił twoją kontrolę, a konto za nim należy traktować jako współdzielone, dopóki rejestracja nie zostanie wymieniona.
Prośby do pomocy technicznej powinny opisywać problem wizualny bez kodów ani materiałów konfiguracyjnych. Wszystko, co dotyczy konta, należy do zweryfikowanego kanału dostawcy, a nie do publicznego wątku.
Zapewnij drogę odzyskiwania przed usunięciem
Przed usunięciem jakiegokolwiek działającego wpisu potwierdź, że istnieje zatwierdzona droga odzyskiwania i że możesz z niej skorzystać. Kosmetyczna naprawa kończąca się zablokowaniem to gorszy wynik niż złe logo, a zablokowania są częste, gdy jedynym zarejestrowanym urządzeniem jest to, które edytujesz.
Warunek akceptacji jest wąski: zweryfikowana relacja między kontem a aplikacją uwierzytelniającą, przy materiałach rejestracyjnych trzymanych prywatnie. Znany znaczek nie jest częścią tego warunku, a jego brak nie jest dowodem kompromitacji.
Sam format URI klucza jest udokumentowany w specyfikacji URI klucza Google Authenticator, która przypomina też, że ładunek zawiera sekret, a nie logo. Przeczytaj ją, zanim wyeksportujesz cokolwiek z wpisu, którego nie możesz sobie pozwolić stracić.