Nesprávna ikona autentifikátora? Prečo logo nič nedokazuje

Sivé štvorčeky tam, kde má byť logo značky, vyzerajú znepokojujúco, a predsa sú tou nesprávnou vecou, na ktorú treba reagovať. Obrázok, ktorý autentifikátor kreslí, je detail zobrazenia odvodený z popisov v zázname, zatiaľ čo bezpečnostná otázka je, či tajomstvo v tomto zázname patrí vášmu účtu. Práve oddelenie týchto dvoch vecí odlišuje kozmetickú opravu od incidentu s prihlasovacími údajmi. Zastavuje aj opravu, ktorá všetko zhoršuje.

Ikona a tajomstvo odpovedajú na rôzne otázky

Záznam autentifikátora vzniká z kľúčového URI, ktoré nesie zdieľané tajomstvo spolu s popisom účtu a menom vydavateľa. Aplikácia vykreslí logo od vydavateľa, ktorého rozpozná, a neznámy alebo zmenený vydavateľ jednoducho vytvorí všeobecný obrázok. Nič v tomto vykreslení vám nehovorí, kto ďalší má kópiu tajomstva, a nič v správnom logu vám nehovorí, že záznam je len váš. Čítajte zobrazenie ako nápovedu k popisu, nie ako tvrdenie o úschove.

Platí to aj opačne a to je nebezpečnejší smer. Presvedčivé logo dokazuje ešte menej ako chýbajúce.

Nikdy sa znova neregistrujte, aby ste opravili obrázok

Oprava, ktorá koluje online, je znova vygenerovať QR kód, čo znamená exportovať tajomstvo a pretlačiť ho iným nástrojom. Tým sa problém zobrazenia mení na prezradenie, pretože export obsahuje presne ten materiál, ktorý útočník potrebuje na vytvorenie platných kódov. Nahratie do webového generátora odovzdá druhý faktor tretej strane výmenou za krajšiu ikonu.

Ak účet kódy stále overuje, registrácia je neporušená a zobrazenie je kozmetické. Pozrite si vlastnú dokumentáciu autentifikátora k popisom vydavateľa a vyhľadávaniu ikon a záznam nechajte tak. Úprava popisu, aby sa vynútilo logo, je zmena záznamu z dôvodu, ktorý nemá nič spoločné s autentifikáciou.

Držte pôvodný QR obrázok, surové kľúčové URI a akékoľvek ručné tajomstvo mimo tiketov, chatov, snímok obrazovky a verejných sledovačov problémov. Snímka obrazovky stránky nastavení často obsahuje viac, než jej autor zamýšľal.

Keď bolo tajomstvo skutočne prezradené

Berte prezradenie ako samostatný incident s vlastnou reakciou. Použite podporovaný proces nahradenia v službe na registráciu nového autentifikátora, overte, že nový záznam vytvára prijímané kódy, a zrušte starú registráciu na serveri. Zmazanie záznamu lokálne neodstráni registráciu na strane servera, takže prezradené tajomstvo môže ďalej fungovať, kým sa službe nepovie inak. Práve v tejto medzere medzi lokálnym zmazaním a stavom servera leží väčšina rizika.

Poradie je tu dôležité. Najprv zaregistrujte náhradu, overte ju a až potom odstráňte starú, pretože väčšina služieb vás uzamkne, ak posledný faktor zmizne. Záložné kódy patria do toho poradia tiež, keďže sú záložnou cestou, keď telefón nie je k dispozícii.

Skontrolujte, či to isté tajomstvo nebolo použité inde. Kľúčové URI vložené do generátora opustilo vašu kontrolu a účet za ním treba brať ako zdieľaný, kým sa registrácia nenahradí.

Žiadosti na podporu by mali opísať vizuálny problém bez kódov alebo materiálov na nastavenie. Všetko, čo sa týka účtu, patrí do overeného kanála poskytovateľa, nie do verejného vlákna.

Pred mazaním si nechajte cestu obnovy

Pred odstránením akéhokoľvek funkčného záznamu overte, že existuje schválená cesta obnovy a že ju môžete použiť. Kozmetická oprava, ktorá skončí uzamknutím, je horší výsledok než nesprávne logo, a uzamknutia sú časté, keď je jediným registrovaným zariadením práve to, ktoré upravujete.

Podmienka prijatia je úzka: overený vzťah medzi účtom a autentifikátorom, pričom registračný materiál zostáva v súkromí. Známy odznak do tejto podmienky nepatrí a jeho neprítomnosť nie je dôkazom kompromitácie.

Samotný formát kľúčového URI je zdokumentovaný v špecifikácii kľúčového URI Google Authenticator, ktorá tiež pripomína, že obsah nesie tajomstvo, a nie logo. Prečítajte si ju, kým čokoľvek exportujete zo záznamu, ktorý si nemôžete dovoliť stratiť.