Je TOTP na istem prenosniku res drugi dejavnik?
Generator kod na prenosniku VPN je dejavnik posedovanja, ki stoji znotraj iste meje ogroženosti. Najprej sledite semenu in seji.
Prijavite se v odjemalca VPN, ki najprej zahteva geslo in nato šestmestno kodo, in dva poziva sta videti kot dve neodvisni oviri. Če ju štejemo po vrsti dejavnika, to tudi sta: geslo je nekaj, kar veste, koda je nekaj, kar imate. Če ju štejemo po tem, kar razkrije en ogrožen prenosnik, se lahko zlomita v eno mejo, ker je tisto, kar imate, datoteka na stroju, v katerega tipkate. Razlika med tema dvema štetjema je tema tega pregleda.
Sledite eni prijavi od polja za geslo do polja za kodo
Opazujte zaporedje, ne oznak. Odjemalec pošlje geslo, strežnik odgovori, da je potreben drugi dokaz, in odjemalec odpre polje za šest ali osem števk. Za tem poljem stoji generatorska aplikacija, ki hrani skupno skrivnost in uro. Izračuna vrednost iz skrivnosti in trenutnega časovnega koraka, strežnik pa preračuna isto vrednost iz svoje kopije skrivnosti.
Obe strani hranita enak ključni material. Ta simetrija je del, ki ga ljudje spregledajo, ko kodo opisujejo kot skrivnost: ponudnik lahko ustvari tudi vaše kode, zato je seme vrednejše od vsakega posameznega izhoda. Koda, ki se izlive, je enkratna vrednost; seme, ki jo je ustvarilo, je trajna poverilnica, ki še naprej ustvarja veljavne vrednosti, dokler ni zamenjana.
Aktivacija je druga polovica toka. Generator, ki se odklene s kodo naprave, biometričnim pozivom ali šifriranim vsebnikom, predstavi dokaz posedovanja in še nekaj drugega. Tisti, ki teče brez šifriranja in se odklene s sejo operacijskega sistema, predstavi le datoteko. Ista aplikacija lahko ponudi obe ureditvi glede na to, kako je bila registracija izvedena, zato je odločitev o uvedbi v tem koraku, ne na marketinški strani aplikacije.
Odločite, kaj koda v resnici dokazuje
Jezik standardov je tu nenavadno jasen in vreden neposrednega branja. Smernice NIST o overiteljih navajajo programske generatorje OTP kot overitelje, ločijo enofaktorski OTP od večfaktorskega OTP z aktivacijskim dejavnikom in navajajo, da overjanje OTP ni odporno na phishing. Vsaka od teh treh določb spremeni, kaj lahko trdite o pozivu.
Neodpornost na phishing je najostrejši rob. Kodo, vtipkano v polje, je mogoče vtipkati v tuje polje, v realnem času, s strani osebe, ki so jo k temu prepričali. Okno je kratko, kar zmanjša število koristnih poskusov, a tehnike ne zapre. Če vaša zahteva vključuje odpornost na to, je OTP napačen primitiv, ne glede na to, kje generator teče.
Enofaktorski proti večfaktorskemu je druga razlika. Koda, ki se pojavi brez aktivacijskega koraka, dokazuje posedovanje datoteke in nič drugega, datoteka pa je le tako močna, kot je močan račun, ki jo lahko prebere. Dodajte aktivacijski dejavnik in trditev se izboljša, čeprav še vedno opisuje dokaz, predstavljen ob prijavi, ne izolacije stroja, ki ga ustvari.
Poglejte, do kam lahko seže ogrožen prenosnik
Napadalec z izvajanjem kode na delovni postaji ni omejen na branje polja, v katerega tipkate. Seja, vzpostavljena po uspešni prijavi, je običajno žeton ali piškotek, žeton pa je mogoče uporabiti z drugega stroja povsem brez kode. Če je to zmožnost, pred katero se branite, dodajanje drugega poziva ob prijavi spremeni število korakov napada, ne izida.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Tretji stolpec berite kot iskreni. Vsaka ureditev zgoraj pusti nekaj znotraj meje zaupanja delovne postaje, ker se seja tam uporablja. Spreminja se, ali dolgoročna skrivnost potuje s to mejo ali ostane zunaj nje, in ali je dokaz vezan na določen izvor, tako da ga posnemovalna stran ne more posredovati.
Dve manjši podrobnosti spadata v isto sliko. Koda ostane veljavna v svojem oknu sprejemanja, pogosto trideset sekund plus toleranca za odstopanje ure, zato je zajeto vrednost mogoče v tem oknu predvajati znova, razen če preverjevalec zavrne ponovno uporabo. In namestitev novega generatorja ne konča sej, ki so bile že overjene, zato zastarela seja preživi spremembo poverilnice, ki bi morala zadržati incident.
Generator premaknite le tja, kjer ločevanje pomaga
Namestitev generatorja kod na telefon je resnična izboljšava za eno določeno okvaro: ukraden prenosnik ne nosi več obeh dokazov. Ne naredi ničesar proti ugrabi seje na prenosniku, ničesar za uporabnika, ki vtipka kodo na phishing strani, in ničesar za obnovitvene kode, ki so bile enkrat natisnjene in fotografirane v aplikacijo za zapiske.
Zato napišite zahtevo, preden izberete orodje. Če je cilj dodatni dokaz proti iztečenemu geslu, povejte to naravnost, in aplikacija na isti napravi ga že zagotavlja. Če je cilj odpornost na ogroženost delovne postaje VPN, poimenujte to napadalčevo zmožnost in izberite ureditev, ocenjeno zanjo, zahtevo glede phishinga pa navedite ločeno, namesto da bi jo predpostavljali.
Nato se lotite operativne polovice, ki odloča, ali karkoli od tega preživi stik z incidentom. Izguba naprave potrebuje dokumentirano pot zamenjave, rotacija poverilnic potrebuje preklic aktivnih sej, material za registracijo pa potrebuje enako zaščito kot seme, saj nezaščitena kopija registracije da napadalcu iste prihodnje kode po krajši poti. Naštevanje teh štirih točk je bolj koristno kot prepiranje, ali so žetoni na isti napravi dobri ali brez vrednosti.