Dy kërkesa fjalëkalimi nuk janë MFA: çfarë verifikon një hyrje në VPN

Faqja e hyrjes kërkon një fjalëkalim, pastaj një sekret të dytë, dhe vendosja përshkruhet menjëherë si shumëfaktorëshe. Ndonjëherë është. Shpesh është një faktor i vetëm i mbledhur dy herë, sepse të dyja vlerat janë njohuri që e njëjta person e ka shtypur nga e njëjta kujtesë ose nga i njëjti shënim. Një shifrim i fortë tuneli nuk e ndryshon këtë, dhe as fjala «i sigurt» në emrin e produktit.

Ndarja e pohimit nga mekanizmi kërkon një pyetje të vetme: çfarë dëshmon çdo hap, dhe për kë?

Faktori është provë, jo fushë

Vërtetimi shumëfaktorësh do të thotë që për të njëjtën llogari verifikohet më shumë se një lloj i veçantë prove: diçka që përdoruesi di, diçka që zotëron, diçka që është. Dy fusha që të dyja mbledhin një varg të mbajtur mend janë një lloj prove i kërkuar dy herë. Ky mund të jetë një kontroll i dobishëm, pasi dy sekrete të pavarura janë më të vështira për t’u hamendësuar se një, por nuk është ajo që përshkruan termi dhe nuk duhet të numërohet si i tillë në një vlerësim rreziku.

Ana e verifikimit ka po aq rëndësi sa ana e mbledhjes. Një kod i gjeneruar në një pajisje dëshmon kontrollin e asaj pajisjeje vetëm nëse serveri e kontrollon atë kundrejt një sekreti të lidhur me këtë llogari dhe i refuzon përsëritjet. Një kod i përbashkët që funksionon për të gjithë, një kod pa kufi dhe një kërkesë e miratuar në një pajisje që nuk tregon kurrë çfarë po miratohet janë të gjitha më të dobëta sesa sugjeron etiketa.

Pra, kur dikush pyet nëse VPN-ja ka MFA, pyesni çfarë dëshmon hapi i dytë dhe si e lidh serveri. Nëse përgjigjja është «një fjalëkalim i dytë nga i njëjti drejtorium», keni një faktor dhe një bisedë politike, jo një faktor të dytë.

Rasti i certifikatës duhet lexuar, jo supozuar

Një certifikatë klienti plus një fjalëkalim duken si dy faktorë, dhe mund të jenë: certifikata mbahet në një depo ose në një token, dhe fjalëkalimi mbahet mend. Mund të jetë edhe një, nëse skedari i certifikatës qëndron i pambrojtur në të njëjtin drejtorium profili si fjalëkalimi i ruajtur, ose nëse certifikata iu lëshua një pajisjeje që disa njerëz e ndajnë pa përgjegjësi individuale.

Pyetja për t’u zgjidhur është kë ose çfarë identifikon certifikata. Një certifikatë pajisjeje dëshmon se një makinë e menaxhuar është e pranishme. Një certifikatë përdoruesi dëshmon një identitet. Nëse vendosja lëshon një certifikatë për çdo laptop dhe pastaj e trajton praninë e saj si provë të personit, faktori i dytë është kthyer në heshtje në një veti të harduerit që çdokush që mban laptopin e trashëgon.

Asgjë nga kjo nuk i bën certifikatat ide të keqe. E bën dallimin mes sigurisë së pajisjes dhe sigurisë së përdoruesit të denjë për t’u shkruar, sepse të dyja përgjigjen pyetjeve të ndryshme dhe një fletë përputhshmërie që i numëron si një do të mbivlerësojë çfarë mbrohet.

Besimi te porta dhe besimi te përdoruesi janë probleme të ndara

Një faktor i dytë nuk e bën të sigurt shtypjen e kredencialeve në një pikë fundore që nuk e keni verifikuar. Klienti duhet të njohë portën e synuar, dhe për këtë janë certifikata e serverit dhe konfigurimi i besimit të klientit. Phishing funksionon duke e zhvendosur hyrjen në një server që kontrollohet nga sulmuesi, dhe një kod i saktë njëpërdorimsh që shtypet atje thjesht përcillet te shërbimi i vërtetë në kohë reale.

Kjo është arsyeja pse zgjedhja e metodës e ndryshon rezultatin më shumë sesa formulimi i kërkesës. Kodet që shtypen nga një person mund t’i përçojë kushdo që mund të tregojë një faqe bindëse, ndërsa metodat kriptografike që e lidhin vërtetimin me origjinën dhe sesionin e caktuar i rezistojnë këtij përcjelljeje nga dizajni. Cila nga të dyja është e juaja është veti e metodës, jo e numrit të hapave në dialog.

Ndiqni regjistrimin dhe rrjedhën e klientit të mbështetur nga furnizuesi në vend që të vidhosni një kërkesë shtesë në një fushë fjalëkalimi. Një hap i dytë i bërë në shtëpi zakonisht zbarkon diku në mes, duke shtuar fërkim pa lidhjen që e bën faktorin kuptimplotë.

Rikthimi është dera e dytë e përparme

Çdo hyrje e fortë ka një rrugë kthimi kur vërtetuesi humbet, dhe pikërisht ajo rrugë është zakonisht pika më e dobët e dizajnit. Nëse një agjent mbështetjeje mund ta rivendosë faktorin e dytë pas një telefonate në një numër të regjistruar, rruga më e lirë për sulmuesin është shërbimi i ndihmës, jo faqja e hyrjes.

Pyesni si funksionon zëvendësimi, kush e miraton dhe çfarë provash kërkojnë. Pastaj kontrolloni që materiali i rikthimit, si kodet rezervë, mbahet veçmas nga kredenciali parësor, që një kompromis të mos i dorëzojë të dyja. Udhëzimet e NIST për identitetin digjital e trajtojnë lidhjen e verifikuesit dhe ciklin e jetës së vërtetuesit si pjesë të kërkesës, jo si një mendim operativ të mëvonshëm.

Çfarë të shkruani në vlerësim

Përshkruani faktorët sipas llojit, emërtoni çfarë dëshmon secili dhe deklaroni si është i lidhur me llogarinë. Vini re nëse metoda i reziston përcjelljes, dhe përshkruani rrugën e rikthimit me të njëjtin kujdes si hyrjen.

Pastaj thoni haptazi nëse vendosja është shumëfaktorëshe sipas atij përkufizimi. «Dy fjalëkalime dhe një certifikatë makine» është një fjali e ndershme, dhe i thotë lexuesit shumë më tepër se një kuti kontrolli që thotë po.