A është vërtet faktor i dytë TOTP në të njëjtin laptop?

Hyni në një klient VPN që kërkon fillimisht fjalëkalim dhe më pas një kod gjashtëshifror, dhe dy kërkesa duken si dy barriera të pavarura. Të numëruara sipas llojit të faktorit, janë pikërisht të tilla: fjalëkalimi është diçka që e dini, kodi është diçka që e zotëroni. Të numëruara sipas asaj që zbulon një laptop i komprometuar, ato mund të shemben në një kufi të vetëm, sepse ajo që zotëroni është një skedar në makinën ku shkruani. Diferenca midis këtyre dy numërimeve është tema e këtij shqyrtimi.

Ndjekni një hyrje nga fusha e fjalëkalimit deri në kutinë e kodit

Shikoni sekuencën, jo etiketat. Klienti dërgon fjalëkalimin, serveri përgjigjet se nevojitet një provë e dytë, dhe klienti hap një fushë për gjashtë ose tetë shifra. Pas asaj fushe qëndron një aplikacion gjenerator që mban një sekret të përbashkët dhe një orë. Ai llogarit një vlerë nga sekreti dhe hapi aktual i kohës, dhe serveri rillogarit të njëjtën vlerë nga kopja e tij e sekretit.

Të dyja palët mbajnë të njëjtin material çelësi. Kjo simetri është pjesa që njerëzit e humbin kur e përshkruajnë kodin si sekret: ofruesi mund të gjenerojë edhe kodet tuaja, prandaj fara vlen më shumë se çdo dalje e vetme. Një kod që rrjedh është vlerë njëpërdorimëshe; fara që e prodhoi është një kredencial i përhershëm që vazhdon të prodhojë vlera të vlefshme derisa të zëvendësohet.

Aktivizimi është gjysma tjetër e rrjedhës. Një gjenerator që hapet me kodin e pajisjes, me një kërkesë biometrike ose me një kontejner të kriptuar paraqet një provë posedimi plus diçka tjetër. Ai që punon pa kriptim dhe hapet me sesionin e sistemit operativ paraqet vetëm skedarin. I njëjti aplikacion mund të ofrojë të dyja rregullimet sipas mënyrës se si u bë regjistrimi, pra vendimi i vendosjes qëndron në atë hap, jo në faqen e marketingut të aplikacionit.

Vendosni çfarë provon në të vërtetë kodi

Gjuha e standardeve është jashtëzakonisht e qartë këtu, dhe ia vlen leximi i drejtpërdrejtë. Udhëzuesi i NIST për autentifikuesit rendit gjeneratorët OTP të bazuar në softuer si autentifikues, dallon OTP me një faktor nga OTP me shumë faktorë me një faktor aktivizimi, dhe deklaron se autentifikimi OTP nuk është rezistent ndaj phishing. Secila prej këtyre tri klauzolave ndryshon atë që mund të pohonisni për kërkesën.

Mungesa e rezistencës ndaj phishing është skaji më i mprehtë. Një kod i shkruar në një fushë mund të shkruhet në fushën e dikujt tjetër, në kohë reale, nga një person që është bindur ta bëjë këtë. Dritarja është e shkurtër, gjë që zvogëlon numrin e përpjekjeve të dobishme por nuk e mbyll teknikën. Nëse kërkesa juaj përfshin rezistencën ndaj kësaj, OTP është primitivi i gabuar, kudo që të ekzekutohet gjeneratori.

Një faktor kundrejt shumë faktorëve është dallimi i dytë. Një kod që shfaqet pa hap aktivizimi provon posedimin e një skedari dhe asgjë tjetër, dhe skedari është vetëm aq i fortë sa llogaria që mund ta lexojë atë. Shtoni një faktor aktivizimi dhe pohimi përmirësohet, megjithëse ende përshkruan provën e paraqitur në hyrje, jo izolimin e makinës që e prodhon atë.

Shikoni deri ku mund të arrijë një laptop i komprometuar

Një sulmues me ekzekutim kodi në stacionin e punës nuk kufizohet në leximin e fushës ku shkruani. Sesioni i vendosur pas një hyrjeje të suksesshme është zakonisht një token ose një cookie, dhe një token mund të përdoret nga një makinë tjetër pa asnjë kod fare. Nëse kjo është aftësia kundër së cilës mbroheni, shtimi i një kërkese të dytë në hyrje ndryshon numrin e hapave të sulmit, jo rezultatin.

Lexoni kolonën e tretë si atë të sinqertë. Çdo rregullim më sipër lë diçka brenda kufirit të besimit të stacionit të punës, sepse atje përdoret sesioni. Ajo që ndryshon është nëse sekreti afatgjatë udhëton me atë kufi ose mbetet jashtë tij, dhe nëse prova është e lidhur me një origjinë të caktuar, kështu që një faqe e imituar të mos mund ta përcjellë atë.

Dy detaje më të vogla i përkasin të njëjtit pikturë. Një kod mbetet i vlefshëm gjatë dritares së tij të pranimit, shpesh tridhjetë sekonda plus një tolerancë ndaj devijimit të orës, kështu që një vlerë e kapur mund të riprodhohet brenda asaj dritareje, përveç nëse verifikuesi refuzon ripërdorimin. Dhe instalimi i një gjeneratori të ri nuk i përfundon sesionet që tashmë janë autentikuar, pra një sesion i vjetër i mbijeton ndryshimit të kredencialit që duhej të përmbante incidentin.

Zhvendosni gjeneratorin vetëm atje ku ndarja ndihmon

Vendosja e gjeneratorit të kodeve në një telefon është një përmirësim i vërtetë për një dështim të caktuar: një laptop i vjedhur nuk i mban më të dyja provat. Nuk bën asgjë kundër rrëmbimit të sesionit në laptop, asgjë për një përdorues që shkruan një kod në një faqe phishing, dhe asgjë për kodet e rikuperimit që u shtypën një herë dhe u fotografuan në një aplikacion shënimesh.

Prandaj shkruani kërkesën para se të zgjidhni mjetin. Nëse qëllimi është një provë shtesë kundër një fjalëkalimi të rrjedhur, thojeni hapur, dhe aplikacioni në të njëjtën pajisje e ofron tashmë. Nëse qëllimi është rezistenca ndaj komprometimit të stacionit të punës VPN, emërtoni atë aftësi të sulmuesit dhe zgjidhni një rregullim të vlerësuar për të, me kërkesën e phishing të deklaruar veçmas në vend që të supozohet.

Më pas trajtoni gjysmën operacionale, e cila vendos nëse ndonjë gjë nga kjo i mbijeton kontaktit me një incident. Humbja e pajisjes kërkon një rrugë zëvendësimi të dokumentuar, rrotullimi i kredencialeve kërkon anulimin e sesioneve aktive, dhe materiali i regjistrimit kërkon të njëjtin mbrojtje si fara, pasi një kopje regjistrimi e pambrojtur i jep sulmuesit të njëjtat kode të ardhshme përmes një rruge më të shkurtër. Numërimi i këtyre katër pikave është më i dobishëm sesa debati nëse tokenët në të njëjtën pajisje janë të mirë apo pa vlerë.