Ikonë e gabuar e autentikuesit? Pse logoja nuk provon asgjë
Një logo që mungon nuk thotë asgjë për atë se kush e mban faktorin tuaj të dytë. Verifikoni regjistrimin përmes llogarisë dhe mos ngarkoni kurrë kodin QR për të rregulluar një pamje.
Katrorë gri aty ku duhet të jetë logoja e një marke duken alarmues, dhe megjithatë janë gjëja e gabuar për të vepruar mbi të. Imazhi që vizaton autentikuesi është një detaj shfaqjeje i nxjerrë nga etiketat në hyrje, ndërsa pyetja e sigurisë është nëse sekreti brenda asaj hyrjeje i përket llogarisë tuaj. Ndaria e këtyre dy gjërave është ajo që dallon një rregullim kozmetik nga një incident kredencialesh. Ajo gjithashtu ndalon rregullimin që i përkeqëson gjërat.
Ikona dhe sekreti përgjigjen pyetjeve të ndryshme
Një hyrje e autentikuesit krijohet nga një URI çelësi që mban një sekret të përbashkët së bashku me një etiketë llogarie dhe një emër lëshuesi. Aplikacioni vizaton një logo nga lëshuesi që njeh, dhe një lëshues i panjohur ose i ndryshuar thjesht prodhon një imazh gjenerik. Asgjë në atë shfaqje nuk ju thotë kush tjetër ka një kopje të sekretit, dhe asgjë në një logo të saktë nuk ju thotë se hyrja është vetëm e juaja. Lexoni shfaqjen si një aluzion për një etiketë, jo si një deklaratë për ruajtjen.
E kundërta është gjithashtu e vërtetë, dhe është drejtimi më i rrezikshëm. Një logo bindëse provon edhe më pak se një që mungon.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Mos u regjistroni kurrë përsëri për të rregulluar një pamje
Rregullimi që qarkullon në internet është të rigjenerohet kodi QR, që do të thotë të eksportohet sekreti dhe të kalojë nëpër një mjet tjetër. Kjo e kthen një problem shfaqjeje në një zbulim, sepse eksporti përmban pikërisht materialin që i nevojitet një sulmuesi për të prodhuar kode të vlefshme. Ngarkimi i tij në një gjenerator web ia dorëzon faktorin e dytë një pale të tretë në këmbim të një ikone më të bukur.
Nëse llogaria vazhdon të verifikojë kodet, regjistrimi është i paprekur dhe shfaqja është kozmetike. Konsultoni dokumentacionin e vetë autentikuesit për etiketat e lëshuesit dhe kërkimin e ikonave, dhe lëreni hyrjen të qetë. Redaktimi i etiketës për të imponuar një logo është një ndryshim në hyrje për një arsye që nuk ka asnjë lidhje me autentikimin.
Mbani imazhin origjinal QR, URI-n e çelësit të papërpunuar dhe çdo sekret manual jashtë biletave, fijeve të bisedës, pamjeve të ekranit dhe gjurmuesve publikë të problemeve. Një pamje ekrani e një faqe konfigurimi shpesh përmban më shumë sesa synonte personi që e bëri.
Kur sekreti u zbulua vërtet
Trajtojeni zbulimin si një incident të veçantë me përgjigjen e vet. Përdorni procesin e zëvendësimit të mbështetur nga shërbimi për të regjistruar një autentikues të ri, konfirmoni që hyrja e re prodhon kode të pranuara dhe tërhiqni regjistrimin e vjetër në server. Fshirja e hyrjes lokalisht nuk e heq regjistrimin në anën e serverit, kështu që sekreti i zbuluar mund të vazhdojë të punojë derisa shërbimi të informohet ndryshe. Pikërisht në këtë hendek midis fshirjes lokale dhe gjendjes së serverit qëndron pjesa më e madhe e rrezikut.
Rendi ka rëndësi këtu. Regjistroni zëvendësimin së pari, verifikojeni dhe vetëm pastaj hiqni të vjetrin, sepse shumica e shërbimeve do t'ju bllokojnë nëse zhduket faktori i fundit. Kodet e rikuperimit gjithashtu bëjnë pjesë në atë sekuencë, pasi ato janë rruga rezervë kur telefoni nuk është i disponueshëm.
Kontrolloni nëse i njëjti sekret është përdorur diku tjetër. Një URI çelësi i ngjitur në një gjenerator ka dalë nga kontrolli juaj, dhe llogaria pas tij duhet trajtuar si e përbashkët derisa regjistrimi të zëvendësohet.
Kërkesat për mbështetje duhet të përshkruajnë problemin vizual pa përfshirë kode ose material konfigurimi. Çdo gjë specifike për llogarinë i përket kanalit të verifikuar të ofruesit, jo një fije publike.
Mbani një rrugë rikuperimi para fshirjes
Përpara se të hiqni çdo hyrje funksionale, konfirmoni se ekziston një rrugë rikuperimi e miratuar dhe se mund ta përdorni. Një rregullim kozmetik që përfundon në një bllokim është një rezultat më i keq se logoja e gabuar, dhe bllokimet janë të zakonshme kur pajisja e vetme e regjistruar është ajo që po redaktohet.
Kushti i pranimit është i ngushtë: një marrëdhënie e verifikuar midis llogarisë dhe autentikuesit, me materialin e regjistrimit të mbajtur privat. Një distinktiv i njohur nuk është pjesë e atij kushti, dhe mungesa e tij nuk është provë kompromentimi.
Vetë formati i URI-së së çelësit dokumentohet në specifikimin e URI-së së çelësit të Google Authenticator, i cili gjithashtu kujton se ngarkesa përmban një sekret dhe jo një logo. Lexojeni përpara se të eksportoni çdo gjë nga një hyrje që nuk mund të përballoni ta humbni.