Je TOTP na tom istom notebooku naozaj druhý faktor?
Generátor kódov na notebooku s VPN je faktor vlastníctva, ktorý sa nachádza v tej istej hranici kompromitácie. Najprv sledujte semeno a reláciu.
Prihláste sa do VPN klienta, ktorý najprv žiada heslo a potom šesťciferný kód, a dve výzvy vyzerajú ako dve nezávislé bariéry. Počítané podľa typu faktora to tak je: heslo je niečo, čo poznáte, kód je niečo, čo vlastníte. Počítané podľa toho, čo odhalí jeden kompromitovaný notebook, môžu sa zliať do jednej hranice, pretože to, čo vlastníte, je súbor na stroji, do ktorého píšete. Rozdiel medzi týmito dvoma počtami je témou tohto prehľadu.
Sledujte jedno prihlásenie od poľa pre heslo k poľu pre kód
Sledujte postupnosť, nie označenia. Klient odošle heslo, server odpovie, že je potrebný druhý dôkaz, a klient otvorí pole pre šesť alebo osem číslic. Za týmto poľom stojí generátorová aplikácia, ktorá drží zdieľané tajomstvo a hodiny. Vypočíta hodnotu z tajomstva a aktuálneho časového kroku a server prepočíta tú istú hodnotu zo svojej kópie tajomstva.
Obe strany držia rovnaký kľúčový materiál. Táto symetria je časť, ktorú ľudia prehliadajú, keď kód opisujú ako tajomstvo: poskytovateľ môže generovať aj vaše kódy, a preto má semeno väčšiu cenu než akýkoľvek jednotlivý výstup. Kód, ktorý unikne, je jednorazová hodnota; semeno, ktoré ho vytvorilo, je trvalý údaj, ktorý ďalej vytvára platné hodnoty, kým nie je nahradené.
Aktivácia je druhá polovica toku. Generátor, ktorý sa odomyká PIN kódom zariadenia, biometrickou výzvou alebo šifrovaným kontajnerom, predkladá dôkaz vlastníctva plus niečo ďalšie. Ten, ktorý beží nešifrovane a odomyká sa reláciou operačného systému, predkladá len súbor. Tá istá aplikácia môže ponúknuť obe usporiadania podľa toho, ako bola registrácia vykonaná, takže rozhodnutie o nasadení leží v tomto kroku, nie na marketingovej stránke aplikácie.
Rozhodnite, čo kód skutočne dokazuje
Jazyk štandardov je tu nezvyčajne jasný a stojí za priame čítanie. Usmernenia NIST k autentifikátorom uvádzajú softvérové OTP generátory ako autentifikátory, rozlišujú jednofaktorové OTP od viacfaktorového OTP s aktivačným faktorom a uvádzajú, že OTP autentifikácia nie je odolná voči phishingu. Každá z týchto troch klauzúl mení to, čo o výzve môžete tvrdiť.
Neodolnosť voči phishingu je najostrejšia hrana. Kód napísaný do poľa možno napísať do cudzieho poľa, v reálnom čase, človekom, ktorého na to nahovorili. Okno je krátke, čo znižuje počet užitočných pokusov, ale techniku neuzatvára. Ak vaša požiadavka zahŕňa odolnosť voči tomu, OTP je nesprávny primitív bez ohľadu na to, kde generátor beží.
Jednofaktorové verzus viacfaktorové je druhé rozlíšenie. Kód, ktorý sa objaví bez aktivačného kroku, dokazuje vlastníctvo súboru a nič iné, a súbor je len taký silný ako účet, ktorý ho môže čítať. Pridajte aktivačný faktor a tvrdenie sa zlepší, hoci stále opisuje dôkaz predložený pri prihlásení, nie izoláciu stroja, ktorý ho vytvára.
Pozrite sa, kam až sa kompromitovaný notebook dostane
Útočník s vykonávaním kódu na pracovnej stanici nie je obmedzený na čítanie poľa, do ktorého píšete. Relácia nadviazaná po úspešnom prihlásení je zvyčajne token alebo cookie a token možno použiť z iného stroja úplne bez kódu. Ak je to schopnosť, proti ktorej sa bránite, pridanie druhej výzvy pri prihlásení mení počet krokov útoku, nie výsledok.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Čítajte tretí stĺpec ako ten čestný. Každé usporiadanie vyššie necháva niečo v hranici dôvery pracovnej stanice, pretože práve tam sa relácia používa. Mení sa to, či dlhodobé tajomstvo cestuje s touto hranicou alebo zostáva mimo nej, a či je dôkaz viazaný na konkrétny pôvod, aby ho napodobená stránka nemohla preposlať.
Dva menšie detaily patria do toho istého obrazu. Kód zostáva platný počas svojho akceptačného okna, často tridsať sekúnd plus tolerancia na odchýlku hodín, takže zachytenú hodnotu možno v tomto okne prehrať, ak overovateľ neodmietne opakované použitie. A inštalácia nového generátora neukončuje relácie, ktoré už boli autentifikované, takže zastaraná relácia prežije zmenu údajov, ktorá mala incident zadržať.
Presuňte generátor len tam, kde oddelenie pomáha
Umiestnenie generátora kódov do telefónu je skutočné zlepšenie pre jednu konkrétnu poruchu: ukradnutý notebook už nenosí oba dôkazy. Nepomôže proti únosu relácie na notebooku, nepomôže používateľovi, ktorý kód napíše do phishingovej stránky, a nepomôže záložným kódom, ktoré boli raz vytlačené a vyfotené do aplikácie s poznámkami.
Napíšte teda požiadavku skôr, než vyberiete nástroj. Ak je cieľom dodatočný dôkaz proti uniknutému heslu, povedzte to priamo a aplikácia na tom istom zariadení ho už poskytuje. Ak je cieľom odolnosť voči kompromitácii pracovnej stanice VPN, pomenujte túto schopnosť útočníka a vyberte usporiadanie, ktoré je pre ňu vyhodnotené, a požiadavku na phishing uveďte oddelene namiesto toho, aby ste ju predpokladali.
Potom sa venujte operatívnej polovici, ktorá rozhoduje, či niečo z toho prežije stret s incidentom. Strata zariadenia potrebuje zdokumentovanú cestu náhrady, rotácia údajov potrebuje odvolanie aktívnych relácií a registračný materiál potrebuje rovnakú ochranu ako semeno, pretože nechránená kópia registrácie dá útočníkovi tie isté budúce kódy kratšou cestou. Vymenovať tieto štyri položky je užitočnejšie než hádať sa, či sú tokeny na tom istom zariadení dobré alebo bezcenné.