Dve výzvy na zadanie hesla nie sú MFA: čo prihlásenie VPN overuje

Prihlasovacia stránka žiada heslo, potom druhé tajomstvo, a nasadenie sa razom opisuje ako viacfaktorové. Niekedy to tak je. Často ide o jediný faktor zozbieraný dvakrát, pretože obe hodnoty sú znalosti, ktoré tá istá osoba napísala z tej istej pamäte alebo z tej istej poznámky. Silná šifra tunela to nezmení a slovo „bezpečný“ v názve produktu tiež nie.

Oddeliť tvrdenie od mechanizmu vyžaduje jedinú otázku: čo každý krok dokazuje a komu?

Faktor je dôkaz, nie pole

Viacfaktorové overovanie znamená, že sa pre ten istý účet overuje viac než jeden odlišný druh dôkazu: niečo, čo používateľ vie, niečo, čo má, niečo, čím je. Dve polia, ktoré obe zbierajú zapamätaný reťazec, sú jeden druh dôkazu vyžiadaný dvakrát. Môže to byť užitočná kontrola, pretože dva nezávislé tajomstvá sa hádajú ťažšie ako jedno, ale nie je to to, čo termín opisuje, a v hodnotení rizík by sa to tak nemalo počítať.

Strana overenia je rovnako dôležitá ako strana zberu. Kód vygenerovaný na zariadení dokazuje kontrolu nad týmto zariadením len vtedy, ak ho server overí proti tajomstvu zviazanému s týmto účtom a odmietne opakovania. Zdieľaný kód, ktorý funguje pre všetkých, kód bez obmedzenia počtu pokusov alebo výzva schválená na zariadení, ktoré nikdy neukazuje, čo sa schvaľuje, sú slabšie, než nálepka naznačuje.

Takže keď sa niekto pýta, či VPN má MFA, pýtajte sa, čo druhý krok dokazuje a ako ho server zväzuje. Ak znie odpoveď „druhé heslo z toho istého adresára“, máte jeden faktor a rozhovor o politike, nie druhý faktor.

Prípad certifikátu treba čítať, nie predpokladať

Klientský certifikát plus heslo vyzerá ako dva faktory a môže to tak byť: certifikát je uložený v úložisku alebo na tokene a heslo sa pamätá. Môže to byť aj jeden, ak súbor certifikátu leží nechránený v tom istom profilovom adresári ako uložené heslo, alebo ak bol certifikát vydaný zariadeniu, ktoré viac ľudí zdieľa bez individuálnej zodpovednosti.

Otázkou na vyriešenie je, koho alebo čo certifikát identifikuje. Certifikát zariadenia dokazuje, že je prítomný spravovaný stroj. Používateľský certifikát dokazuje identitu. Ak nasadenie vydáva jeden certifikát na notebook a potom jeho prítomnosť považuje za dôkaz osoby, druhý faktor sa ticho stal vlastnosťou hardvéru, ktorú dedí každý, kto notebook drží.

Nič z toho nerobí z certifikátov zlý nápad. Robí to rozdiel medzi zárukou zariadenia a zárukou používateľa hodným zapísania, pretože obe odpovedajú na rôzne otázky a tabuľka zhody, ktorá ich počíta ako jednu, nadhodnotí, čo je chránené.

Dôvera v bránu a dôvera v používateľa sú oddelené problémy

Druhý faktor neurobí bezpečným zapisovať prihlasovacie údaje do koncového bodu, ktorý ste neoverili. Klient musí rozpoznať zamýšľanú bránu, a na to slúži certifikát servera a konfigurácia dôvery klienta. Phishing funguje tak, že presunie prihlásenie na server, ktorý útočník ovláda, a správny jednorazový kód tam zadaný sa jednoducho v reálnom čase prepošle skutočnej službe.

Preto voľba metódy mení výsledok viac než formulácia výzvy. Kódy, ktoré zadáva človek, môže preposlať ktokoľvek, kto vie predložiť presvedčivú stránku, zatiaľ čo kryptografické metódy, ktoré viažu overovanie na konkrétny pôvod a reláciu, tomuto preposlaniu odolávajú už z princípu. Ktorý z prípadov máte, je vlastnosť metódy, nie počet krokov v dialógu.

Nasledujte dodávateľom podporovaný postup registrácie a tok klienta, namiesto toho, aby ste priskrutkovali ďalšiu výzvu k poľu pre heslo. Domáci druhý krok zvyčajne skončí niekde medzi tým, pridá trenie bez väzby, ktorá dáva faktoru zmysel.

Obnova je druhé vchodové dvere

Každé silné prihlásenie má cestu späť, keď sa autentifikátor stratí, a práve táto cesta býva najslabším miestom návrhu. Ak agent podpory môže po telefonáte na číslo v evidencii resetovať druhý faktor, najlacnejšou cestou útočníka je helpdesk, nie prihlasovacia stránka.

Pýtajte sa, ako výmena funguje, kto ju schvaľuje a aké dôkazy vyžadujú. Potom skontrolujte, že obnovovací materiál, ako záložné kódy, je uložený oddelene od primárneho údaja, aby jeden kompromis nevydal oba. Pokyny NIST k digitálnej identite považujú zviazanie overovateľa a životný cyklus autentifikátora za súčasť požiadavky, nie za prevádzkovú dodatočnú myšlienku.

Čo napísať do hodnotenia

Opíšte faktory podľa druhu, pomenujte, čo každý dokazuje, a uveďte, ako je zviazaný s účtom. Poznamenajte, či metóda odoláva preposlaniu, a opíšte cestu obnovy s rovnakou starostlivosťou ako prihlásenie.

Potom povedzte jasne, či je nasadenie podľa tejto definície viacfaktorové. „Dve heslá a certifikát stroja“ je poctivá veta a čitateľovi povie omnoho viac než zaškrtávacie políčko, ktoré hovorí áno.