Pictogramă greșită la autentificator? De ce logo-ul nu dovedește nimic
Un logo lipsă nu spune nimic despre cine deține al doilea factor al tău. Verifică înregistrarea prin cont și nu încărca niciodată codul QR pentru a repara o imagine.
Pătrate gri acolo unde ar trebui să fie logo-ul unui brand par alarmante, și totuși ele sunt lucrul greșit pe care să acționezi. Imaginea pe care o desenează autentificatorul este un detaliu de afișare derivat din etichetele înregistrării, în timp ce întrebarea de securitate este dacă secretul din acea înregistrare aparține contului tău. Separarea acestor două lucruri este ceea ce distinge o reparație cosmetică de un incident de credențiale. De asemenea, oprește reparația care înrăutățește situația.
Pictograma și secretul răspund la întrebări diferite
O înregistrare a autentificatorului este creată dintr-un URI de cheie care poartă un secret partajat împreună cu o etichetă de cont și un nume de emitent. Aplicația desenează un logo de la emitentul pe care îl recunoaște, iar un emitent necunoscut sau modificat produce pur și simplu o imagine generică. Nimic din acea afișare nu îți spune cine altcineva are o copie a secretului, și nimic dintr-un logo corect nu îți spune că înregistrarea este doar a ta. Citește afișarea ca pe un indiciu despre o etichetă, nu ca pe o afirmație despre păstrare.
Și inversul este adevărat, iar aceasta este direcția mai periculoasă. Un logo convingător dovedește chiar mai puțin decât unul lipsă.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Nu te înregistra niciodată din nou pentru a repara o imagine
Reparația care circulă online este regenerarea codului QR, ceea ce înseamnă exportarea secretului și trecerea lui printr-un alt instrument. Asta transformă o problemă de afișare într-o divulgare, pentru că exportul conține exact materialul de care are nevoie un atacator pentru a produce coduri valide. Încărcarea lui într-un generator web predă al doilea factor unei terțe părți în schimbul unei pictograme mai frumoase.
Dacă contul încă verifică codurile, înregistrarea este intactă și afișarea este cosmetică. Consultă documentația autentificatorului însuși despre etichetele de emitent și căutarea pictogramelor și lasă înregistrarea în pace. Editarea etichetei pentru a forța un logo este o modificare a înregistrării dintr-un motiv care nu are nimic de-a face cu autentificarea.
Ține imaginea QR originală, URI-ul de cheie brut și orice secret manual departe de tichete, fire de chat, capturi de ecran și trackere publice de probleme. O captură de ecran a unei pagini de configurare conține adesea mai mult decât intenționa persoana care a făcut-o.
Când secretul a fost într-adevăr expus
Tratează divulgarea ca pe un incident separat, cu propriul său răspuns. Folosește procesul de înlocuire acceptat de serviciu pentru a înregistra un autentificator nou, confirmă că noua înregistrare produce coduri acceptate și retrage vechea înregistrare pe server. Ștergerea înregistrării local nu elimină înregistrarea din partea serverului, așa că secretul expus poate continua să funcționeze până când serviciul este informat altfel. În acest decalaj dintre ștergerea locală și starea serverului se află cea mai mare parte a riscului.
Ordinea contează aici. Înregistrează mai întâi înlocuitorul, verifică-l și abia apoi elimină-l pe cel vechi, pentru că majoritatea serviciilor te vor bloca dacă dispare ultimul factor. Codurile de recuperare fac și ele parte din acea secvență, fiind calea de rezervă atunci când telefonul nu este disponibil.
Verifică dacă același secret a fost folosit în altă parte. Un URI de cheie lipit într-un generator a ieșit de sub controlul tău, iar contul din spatele lui trebuie tratat ca partajat până când înregistrarea este înlocuită.
Cererile de asistență ar trebui să descrie problema vizuală fără a include coduri sau material de configurare. Tot ce este specific contului aparține canalului verificat al furnizorului, nu unui fir public.
Păstrează o cale de recuperare înainte de ștergere
Înainte de a elimina orice înregistrare funcțională, confirmă că există o cale de recuperare aprobată și că o poți folosi. O reparație cosmetică ce se termină într-o blocare este un rezultat mai rău decât logo-ul greșit, iar blocările sunt frecvente când singurul dispozitiv înregistrat este cel care este editat.
Condiția de acceptare este îngustă: o relație verificată între cont și autentificator, cu materialul de înregistrare păstrat privat. O insignă familiară nu face parte din acea condiție, iar absența ei nu este dovadă de compromitere.
Însuși formatul URI de cheie este documentat în specificația URI de cheie a Google Authenticator, care reamintește de asemenea că încărcătura conține un secret, nu un logo. Citește-o înainte de a exporta ceva dintr-o înregistrare pe care nu îți permiți să o pierzi.