Pogrešna ikona autentifikatora? Zašto logo ništa ne dokazuje

Sivi kvadrati na mjestu logotipa brenda izgledaju alarmantno, ali oni su pogrešna stvar na koju treba reagovati. Slika koju crta autentifikator je detalj prikaza izveden iz oznaka u unosu, dok je sigurnosno pitanje pripada li tajna unutar tog unosa vašem računu. Razdvajanje to dvoje je ono što odvaja kozmetičku popravku od incidenta s vjerodajnicama. To također zaustavlja popravku koja stvari pogoršava.

Ikona i tajna odgovaraju na različita pitanja

Unos autentifikatora nastaje iz ključnog URI-ja koji nosi zajedničku tajnu zajedno s oznakom računa i imenom izdavaoca. Aplikacija iscrtava logo iz izdavaoca kojeg prepoznaje, a nepoznat ili izmijenjen izdavaoc jednostavno daje generičku sliku. Ništa u tom prikazu ne govori ko još ima kopiju tajne, a ništa u ispravnom logu ne govori da je unos samo vaš. Čitajte prikaz kao nagovještaj o oznaci, ne kao tvrdnju o čuvanju.

Vrijedi i obrnuto, i to je opasniji smjer. Uvjerljiv logo dokazuje još manje od onoga koji nedostaje.

Nikada se ne upisujte ponovo da popravite sliku

Popravka koja kruži internetom je ponovno generiranje QR koda, što znači izvoz tajne i provlačenje kroz drugi alat. To pretvara problem prikaza u otkrivanje, jer izvoz sadrži upravo materijal koji je napadaču potreban za stvaranje valjanih kodova. Prijenos u web generator predaje drugi faktor trećoj strani u zamjenu za ljepšu ikonu.

Ako račun još prihvaća kodove, unos je netaknut i prikaz je kozmetički. Provjerite vlastitu dokumentaciju autentifikatora o oznakama izdavaoca i traženju ikona i ostavite unos na miru. Uređivanje oznake da bi se prisilio logo je promjena unosa iz razloga koji nema veze s autentifikacijom.

Držite originalnu QR sliku, sirovi ključni URI i svaku ručnu tajnu podalje od tiketa, chat niti, snimaka ekrana i javnih praćenja problema. Snimak ekrana stranice za postavljanje često sadrži više nego što je osoba koja ga je snimila namjeravala.

Kada je tajna zaista otkrivena

Tretirajte otkrivanje kao odvojen incident s vlastitim odgovorom. Koristite podržani postupak zamjene u usluzi da upišete novi autentifikator, potvrdite da novi unos daje prihvaćene kodove i povucite stari upis na poslužitelju. Brisanje unosa lokalno ne uklanja registraciju na strani poslužitelja, pa otkrivena tajna može nastaviti raditi dok se usluzi ne kaže drugačije. U tom jazu između lokalnog brisanja i stanja poslužitelja leži većina rizika.

Redoslijed je ovdje važan. Prvo upišite zamjenu, provjerite je i tek onda uklonite staru, jer će vas većina usluga zaključati ako posljednji faktor nestane. Kodovi za oporavak također pripadaju tom slijedu, jer su oni rezervni put kada telefon nije dostupan.

Provjerite je li ista tajna korištena negdje drugdje. Ključni URI zalijepljen u generator izašao je iz vaše kontrole i račun iza njega treba tretirati kao dijeljen dok se registracija ne zamijeni.

Zahtjevi podršci treba da opišu vizualni problem bez kodova ili materijala za postavljanje. Sve što se tiče računa pripada provjerenom kanalu pružaoca, a ne javnoj niti.

Sačuvajte put oporavka prije brisanja

Prije uklanjanja bilo kojeg radnog unosa, potvrdite da postoji odobren put oporavka i da ga možete koristiti. Kozmetička popravka koja završi zaključavanjem gori je ishod od pogrešnog loga, a zaključavanja su česta kada je jedini upisani uređaj upravo onaj koji se uređuje.

Uslov prihvatanja je uzak: provjerena veza između računa i autentifikatora, uz materijal za upis koji se čuva privatno. Poznata značka nije dio tog uslova i njeno odsustvo nije dokaz kompromitacije.

Sam format ključnog URI-ja dokumentovan je u specifikaciji ključnog URI-ja Google Authenticatora, što je i podsjetnik da sadržaj nosi tajnu, a ne logo. Pročitajte je prije nego što izvezete bilo šta iz unosa koji ne možete priuštiti izgubiti.