Dwa monity o hasło to nie MFA: co weryfikuje logowanie VPN

Strona logowania prosi o hasło, potem o drugi sekret, i wdrożenie od razu opisywane jest jako wieloskładnikowe. Czasami tak jest. Często to jeden czynnik zebrany dwa razy, ponieważ obie wartości to wiedza, którą ta sama osoba wpisała z tej samej pamięci lub z tej samej notatki. Silne szyfrowanie tunelu tego nie zmienia, a słowo „bezpieczny” w nazwie produktu też nie.

Oddzielenie twierdzenia od mechanizmu wymaga jednego pytania: co dowodzi każdy krok i komu?

Czynnik to dowód, a nie pole

Uwierzytelnianie wieloskładnikowe oznacza, że dla tego samego konta weryfikuje się więcej niż jeden odrębny rodzaj dowodu: coś, co użytkownik wie, coś, co posiada, coś, czym jest. Dwa pola, które oba zbierają zapamiętany ciąg, to jeden rodzaj dowodu pytany dwa razy. Może to być przydatna kontrola, bo dwa niezależne sekrety trudniej odgadnąć niż jeden, ale nie jest to to, co opisuje termin, i nie powinno być tak liczone w ocenie ryzyka.

Strona weryfikacji jest równie ważna jak strona zbierania. Kod wygenerowany na urządzeniu dowodzi kontroli nad tym urządzeniem tylko wtedy, gdy serwer sprawdza go względem sekretu powiązanego z tym kontem i odrzuca powtórzenia. Wspólny kod, który działa dla wszystkich, kod bez limitu prób albo monit zatwierdzany na urządzeniu, które nigdy nie pokazuje, co się zatwierdza, są słabsze, niż sugeruje etykieta.

Więc kiedy ktoś pyta, czy VPN ma MFA, zapytaj, co dowodzi drugi krok i jak serwer go wiąże. Jeśli odpowiedź brzmi „drugie hasło z tego samego katalogu”, masz jeden czynnik i rozmowę o polityce, a nie drugi czynnik.

Sprawę certyfikatu trzeba odczytać, a nie założyć

Certyfikat klienta plus hasło wygląda na dwa czynniki i może nim być: certyfikat jest przechowywany w magazynie lub na tokenie, a hasło jest pamiętane. Może też być jednym, jeśli plik certyfikatu leży niechroniony w tym samym katalogu profilu co zapisane hasło, albo jeśli certyfikat wydano urządzeniu, które kilka osób dzieli bez indywidualnej odpowiedzialności.

Do rozstrzygnięcia jest to, kogo lub co identyfikuje certyfikat. Certyfikat urządzenia dowodzi, że obecna jest zarządzana maszyna. Certyfikat użytkownika dowodzi tożsamości. Jeśli wdrożenie wydaje jeden certyfikat na laptop, a potem traktuje jego obecność jako dowód osoby, drugi czynnik po cichu stał się właściwością sprzętu, którą dziedziczy każdy, kto trzyma laptop.

Nic z tego nie czyni certyfikatów złym pomysłem. To czyni rozróżnienie między zapewnieniem urządzenia a zapewnieniem użytkownika wartym zapisania, ponieważ oba odpowiadają na różne pytania, a arkusz zgodności, który liczy je jako jedno, przeszacuje to, co jest chronione.

Zaufanie do bramy i zaufanie do użytkownika to odrębne problemy

Drugi czynnik nie czyni bezpiecznym wpisywania danych logowania w punkt końcowy, którego nie zweryfikowałeś. Klient musi rozpoznać zamierzoną bramę, i po to są certyfikat serwera oraz konfiguracja zaufania klienta. Phishing działa, przenosząc logowanie na serwer kontrolowany przez atakującego, a poprawny kod jednorazowy wpisany tam jest po prostu przekazywany do prawdziwej usługi w czasie rzeczywistym.

Dlatego wybór metody zmienia wynik bardziej niż sformułowanie monitu. Kody wpisywane przez człowieka może przekazać każdy, kto potrafi pokazać przekonującą stronę, podczas gdy metody kryptograficzne wiążące uwierzytelnianie z konkretnym pochodzeniem i sesją opierają się temu przekazaniu z założenia. Który z tych przypadków masz, jest właściwością metody, a nie liczby kroków w oknie dialogowym.

Podążaj za obsługiwanym przez dostawcę procesem rejestracji i przepływem klienta, zamiast przykręcać dodatkowy monit do pola hasła. Domowy drugi krok zwykle ląduje gdzieś pomiędzy, dodając tarcia bez wiązania, które czyni czynnik sensownym.

Odzyskiwanie to drugie drzwi frontowe

Każde silne logowanie ma drogę powrotu, gdy uwierzytelniacz zostanie utracony, i ta droga jest miejscem, w którym projekt jest zwykle najsłabszy. Jeśli agent wsparcia może zresetować drugi czynnik po telefonie na numer w aktach, najtańszą trasą atakującego jest help desk, a nie strona logowania.

Zapytaj, jak działa wymiana, kto ją zatwierdza i jakich dowodów wymagają. Potem sprawdź, czy materiał odzyskiwania, taki jak kody zapasowe, jest przechowywany oddzielnie od głównego poświadczenia, aby jedno naruszenie nie oddawało obu. Wytyczne NIST dotyczące tożsamości cyfrowej traktują powiązanie weryfikatora i cykl życia uwierzytelniacza jako część wymogu, a nie jako operacyjną refleksję.

Co napisać w ocenie

Opisz czynniki według rodzaju, nazwij, co każdy z nich dowodzi, i podaj, jak jest powiązany z kontem. Zanotuj, czy metoda opiera się przekazaniu, i opisz drogę odzyskiwania z taką samą starannością jak logowanie.

Potem powiedz wprost, czy wdrożenie jest wieloskładnikowe według tej definicji. „Dwa hasła i certyfikat maszyny” to uczciwe zdanie i mówi czytelnikowi znacznie więcej niż pole wyboru, które mówi tak.