Dve poziva za geslo nista MFA: kaj prijava v VPN preveri

Prijavna stran zahteva geslo, nato drugo skrivnost, in postavitev je takoj opisana kot večfaktorska. Včasih je res. Pogosto gre za en sam dejavnik, zbran dvakrat, ker sta obe vrednosti znanje, ki ga je ista oseba vtipkala iz istega spomina ali istega zapisa. Močna šifra tunela tega ne spremeni, in beseda „varen“ v imenu izdelka tudi ne.

Ločitev trditve od mehanizma zahteva eno samo vprašanje: kaj vsak korak dokazuje in komu?

Dejavnik je dokaz, ne polje

Večfaktorska avtentikacija pomeni, da se za isti račun preveri več kot ena različna vrsta dokaza: nekaj, kar uporabnik ve, nekaj, kar ima, nekaj, kar je. Dve polji, ki obe zbirata zapomnjeno zaporedje, sta ena vrsta dokaza, zahtevana dvakrat. To je lahko koristna kontrola, saj sta dva neodvisna skrivnost težje uganiti kot ena, vendar ni tisto, kar izraz opisuje, in se v oceni tveganja ne sme šteti kot tako.

Stran preverjanja je enako pomembna kot stran zbiranja. Koda, ustvarjena na napravi, dokazuje nadzor nad to napravo le, če jo strežnik preveri proti skrivnosti, vezani na ta račun, in zavrne ponovitve. Skupna koda, ki deluje za vse, koda brez omejitve poskusov ali poziv, odobren na napravi, ki nikoli ne pokaže, kaj se odobri, so vsi šibkejši, kot namiguje oznaka.

Ko se torej nekdo vpraša, ali ima VPN MFA, vprašajte, kaj dokaže drugi korak in kako ga strežnik veže. Če je odgovor „drugo geslo iz istega imenika“, imate en dejavnik in pogovor o politiki, ne drugega dejavnika.

Primer potrdila je treba brati, ne predpostavljati

Odjemalsko potrdilo plus geslo je videti kot dva dejavnika, in to je lahko: potrdilo je shranjeno v hrambi ali na žetonu, geslo pa si zapomnimo. Lahko je tudi en, če je datoteka potrdila nezaščitena v isti mapi profila kot shranjeno geslo, ali če je bilo potrdilo izdano napravi, ki si jo več ljudi deli brez individualne odgovornosti.

Vprašanje, ki ga je treba razrešiti, je, koga ali kaj potrdilo identificira. Potrdilo naprave dokazuje, da je prisotna upravljana naprava. Uporabniško potrdilo dokazuje identiteto. Če postavitev izda eno potrdilo na prenosnik in nato njegovo prisotnost obravnava kot dokaz osebe, je drugi dejavnik tiho postal lastnost strojne opreme, ki jo podeduje vsak, ki prenosnik drži.

Nič od tega ne naredi potrdil slabe ideje. Naredi razlikovanje med zagotovilom naprave in zagotovilom uporabnika vredno zapisa, ker oba odgovarjata na različna vprašanja in preglednica skladnosti, ki ju šteje kot eno, bo precenila, kaj je zaščiteno.

Zaupanje v prehod in zaupanje uporabnika sta ločena problema

Drugi dejavnik ne naredi varnega vnašanja poverilnic v končno točko, ki je niste preverili. Odjemalec mora prepoznati predvideni prehod, in temu sta namenjena strežniško potrdilo in konfiguracija zaupanja odjemalca. Phishing deluje tako, da prijavo premakne na strežnik, ki ga nadzoruje napadalec, in pravilna enkratna koda, vnesena tam, se preprosto v realnem času posreduje pravi storitvi.

Zato izbira metode spremeni izid bolj kot besedilo poziva. Kode, ki jih vtipka oseba, lahko posreduje vsak, ki zna prikazati prepričljivo stran, medtem ko kriptografske metode, ki avtentikacijo vežejo na določen izvor in sejo, temu posredovanju nasprotujejo že po zasnovi. Kateri od obeh primerov velja, je lastnost metode, ne število korakov v pogovornem oknu.

Sledite podprtemu postopku registracije in toku odjemalca pri ponudniku, namesto da bi na polje za geslo pritrdili dodaten poziv. Doma narejen drugi korak običajno pristane nekje vmes in doda trenje brez vezave, ki dejavniku daje smisel.

Obnovitev je druga vhodna vrata

Vsaka močna prijava ima pot nazaj, ko se avtentikator izgubi, in prav ta pot je običajno najšibkejši del zasnove. Če lahko agent za podporo po telefonu na številko v evidenci ponastavi drugi dejavnik, je najcenejša pot za napadalca pomoč uporabnikom, ne prijavna stran.

Vprašajte, kako deluje zamenjava, kdo jo odobri in kakšne dokaze zahtevajo. Nato preverite, da je obnovitveno gradivo, kot so rezervne kode, shranjeno ločeno od primarne poverilnice, da ena ogroženost ne izroči obeh. Smernice NIST za digitalno identiteto obravnavajo vezavo preveritelja in življenjski cikel avtentikatorja kot del zahteve, ne kot operativni dodatek.

Kaj napisati v oceni

Opišite dejavnike po vrsti, poimenujte, kaj vsak dokazuje, in navedite, kako je vezan na račun. Zabeležite, ali se metoda upira posredovanju, in opišite pot obnovitve z enako skrbnostjo kot prijavo.

Nato jasno povejte, ali je postavitev po tej definiciji večfaktorska. „Dve gesli in potrdilo stroja“ je poštena poved in bralcu pove veliko več kot potrditveno polje, ki pravi da.