آیا په همدې لپ ټاپ کې TOTP واقعاً دوهم فکتور دی؟
د VPN لپ ټاپ کې د کوډ جوړوونکی د مالکیت فکتور دی چې د همدې ماتېدنې پولې دننه دی۔ لومړی تخم او ناسته تعقیب کړئ۔
په داسې VPN کلینټ کې ننوځئ چې لومړی پټنوم او بیا شپږ عددي کوډ غواړي، او دوه غوښتنې د دوو خپلواکو خنډونو په څېر ښکاري۔ د فکتور له ډول سره یې وشمېرئ، نو داسې دي: پټنوم هغه څه دي چې تاسو یې پوهېږئ، کوډ هغه څه دي چې تاسو یې لرئ۔ د هغه څه له مخې چې یو مات شوی لپ ټاپ ښکاره کوي وشمېرئ، نو دوی کولای شي په یوه پوله کې راټول شي، ځکه هغه څه چې تاسو یې لرئ په هغه ماشین کې یو فایل دی چې تاسو پکې ټایپ کوئ۔ د دې دوو شمېرنو ترمنځ توپیر د دې کتنې موضوع ده۔
د پټنوم له ساحې څخه د کوډ ساحې ته یو ننوتل تعقیب کړئ
لیبلونه نه، ترتیب وګورئ۔ کلینټ پټنوم لېږي، سرور ځواب ورکوي چې دوهم ثبوت ته اړتیا ده، او کلینټ د شپږ یا اتو عددونو لپاره ساحه پرانیزي۔ د هغې ساحې شاته د کوډ جوړوونکې اپلیکیشن ده چې ګډ راز او ساعت لري۔ دا له راز او اوسني وخت ګام څخه ارزښت محاسبه کوي، او سرور هماغه ارزښت د خپل راز له کاپي څخه بیا محاسبه کوي۔
دواړه خواوې یو شان کیلي مواد لري۔ همدا تقارن هغه برخه ده چې خلک یې له لاسه ورکوي کله چې کوډ د راز په توګه تشریح کوي: چمتو کوونکی ستاسو کوډونه هم جوړولای شي، نو ځکه تخم له هر یوازیني تولید څخه ډېر ارزښت لري۔ هغه کوډ چې وتښتي یو ځل ارزښت دی؛ هغه تخم چې جوړ کړی یې دی یو تلپاتې اسناد دی چې تر بدلېدو پورې سم ارزښتونه تولیدوي۔
فعالول د بهیر بله نیمه ده۔ هغه جوړوونکی چې د وسیلې پاسکوډ، بایو میټریک غوښتنې یا کوډ شوي کانټینر سره پرانیستل شي د مالکیت ثبوت او بل څه وړاندې کوي۔ هغه چې پرته له کوډ کولو چلېږي او د عملیاتي سیسټم ناستې سره پرانیستل شي یوازې فایل وړاندې کوي۔ همدا اپلیکیشن کولای شي دواړه ترتیبات وړاندې کړي، د ثبت له کړنلارې سره سم، نو د ځای پرځای کولو پرېکړه په هماغه ګام کې ده، د اپلیکیشن د بازارموندنې په پاڼه کې نه۔
پرېکړه وکړئ چې کوډ واقعاً څه ثبوتوي
د معیارونو ژبه دلته په غیر عادي ډول روښانه ده، او مستقیم لوستل یې ارزښت لري۔ د NIST د تصدیق کوونکو لارښود پروګرامي OTP جوړوونکي د تصدیق کوونکو په توګه لیست کوي، یو فکتوري OTP له څو فکتوري OTP چې د فعالولو فکتور لري جلا کوي، او وایي چې OTP تصدیق د فشینګ پر وړاندې مقاومت نه لري۔ د دې درې بندونو هر یو بدلوي چې د غوښتنې په اړه څه ادعا کولای شئ۔
د فشینګ پر وړاندې مقاومت نه لرل تر ټولو تېره څنډه ده۔ هغه کوډ چې په یوه ساحه کې ټایپ شي کولای شي د بل چا په ساحه کې، په ریښتیني وخت کې، د هغه کس له خوا ټایپ شي چې قانع شوی وي۔ کړکۍ لنډه ده، چې د ګټورو هڅو شمېر کموي خو تخنیک نه بندوي۔ که ستاسو غوښتنه پر دې مقاومت شامل وي، OTP غلط بنسټ دی، هر چېرې چې جوړوونکی چلېږي۔
یو فکتور د څو فکتورونو پر وړاندې دوهم توپیر دی۔ هغه کوډ چې پرته له فعالولو ګام ښکاره شي د فایل مالکیت ثبوتوي او نور هیڅ نه، او فایل یوازې هغومره پیاوړی دی څومره هغه حساب چې لوستلای یې شي۔ د فعالولو فکتور ورزیات کړئ، ادعا ښه کېږي، که څه هم دا لا هم د ننوتلو پر مهال وړاندې شوی ثبوت توصیفوي، نه د هغه ماشین جلاوالی چې جوړوي یې۔
وګورئ چې مات شوی لپ ټاپ چېرته رسېدلای شي
هغه بریدګر چې په کاري سټیشن کې د کوډ چلولو وړتیا لري یوازې هغې ساحې لوستلو ته محدود نه دی چې تاسو پکې ټایپ کوئ۔ هغه ناسته چې له بریالۍ ننوتنې وروسته جوړېږي معمولاً یو ټوکن یا کوکي ده، او ټوکن له بل ماشین څخه پرته له هر کوډ کارولای شئ۔ که دا هغه وړتیا وي چې تاسو یې پر وړاندې دفاع کوئ، د ننوتلو پر مهال دوهمه غوښتنه ورزیاتول د برید د ګامونو شمېر بدلوي، نتیجې نه۔
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
درېیم کالم د ریښتیني کالم په توګه ولولئ۔ پورتنۍ هر ترتیب د کاري سټیشن د باور په پوله کې څه پریږدي، ځکه ناسته هماغهلته کارول کېږي۔ هغه څه چې بدلېږي دا دي چې اوږدمهاله راز له دې پولې سره سفر کوي که بهر پاتې کېږي، او ایا ثبوت له ځانګړي اصل سره تړلی دی ترڅو نقل پاڼه یې نشي لېږلای۔
دوه کوچني جزئیات د همدې انځور دي۔ کوډ د خپل منلو کړکۍ په اوږدو کې سم پاتې کېږي، ډېری وخت دېرش ثانیې جمع د ساعت د انحراف لپاره زغم، نو نیول شوی ارزښت په هماغه کړکۍ کې بیا چلولای شئ، پرته له دې چې تصدیق کوونکی له بیا کارولو انکار وکړي۔ او د نوي جوړوونکي نصبول هغه ناستې نه پای ته رسوي چې مخکې تصدیق شوې دي، نو زړه ناسته د هغه اسناد بدلون څخه اوږده ژوند کوي چې باید پېښه مهار کړې وای۔
جوړوونکی یوازې هغه ځای ته واړوئ چېرې جلاوالی مرسته کوي
د کوډ جوړوونکي په تلیفون کې ایښودل د یوې ځانګړې ناکامۍ لپاره ریښتینی ښه والی دی: غلا شوی لپ ټاپ نور دواړه ثبوتونه نه ګرځوي۔ خو د لپ ټاپ پر ناستې غلا په وړاندې هیڅ نه کوي، د هغه کارونکي لپاره چې په فشینګ پاڼه کې کوډ ټایپ کوي هیڅ نه کوي، او د هغو بیا راګرځولو کوډونو لپاره هم هیڅ نه کوي چې یو ځل چاپ شوي او په یادښتونو اپلیکیشن کې عکس شوي دي۔
نو د وسیلې له غوره کولو مخکې غوښتنه ولیکئ۔ که هدف له وتلي پټنوم پر وړاندې اضافي ثبوت وي، دا روښانه ووایاست، او همدې وسیلې اپلیکیشن دا مخکې ورکوي۔ که هدف د VPN کاري سټیشن د ماتېدنې پر وړاندې انعطاف وي، د هغه بریدګر وړتیا ونوموئ او د هغې لپاره ارزول شوی ترتیب غوره کړئ، او د فشینګ غوښتنه د انګېرنې پر ځای جلا بیان کړئ۔
بیا عملیاتي نیمه وساتئ، چې پرېکړه کوي چې له دې څخه څه د یوې پېښې له تماس سره ژوندي پاتې کېږي۔ د وسیلې له لاسه وتل مستند بدیل لار غواړي، د اسنادو ګرځول باید فعالې ناستې لغوه کړي، او د ثبت مواد د تخم په څېر هماغه ساتنه غواړي، ځکه نه ساتل شوې د ثبت کاپي بریدګر ته هماغه راتلونکي کوډونه په لنډه لار ورکوي۔ د دې څلورو ټکو شمېرل د دې بحث څخه ګټور دي چې ایا د همدې وسیلې ټوکنونه ښه دي که بې ارزښته۔