Погрешна икона аутентификатора? Зашто лого не доказује ништа
Лого који недостаје не говори ништа о томе ко држи ваш други фактор. Проверите упис кроз налог и никада не преносите QR код да бисте поправили слику.
Сиви квадрати на месту логотипа бренда изгледају алармантно, али они су погрешна ствар на коју треба реаговати. Слика коју црта аутентификатор је детаљ приказа изведен из ознака у запису, док је безбедносно питање да ли тајна у том запису припада вашем налогу. Раздвајање тога двоје је оно што одваја козметичку поправку од инцидента са акредитивима. То такође зауставља поправку која ствари погоршава.
Икона и тајна одговарају на различита питања
Запис аутентификатора настаје из кључног URI-ја који носи заједничку тајну заједно с ознаком налога и именом издаваоца. Апликација исцртава лого из издаваоца којег препознаје, а непознат или измењен издавалац једноставно даје генеричку слику. Ништа у том приказу не говори ко још има копију тајне, а ништа у исправном логу не говори да је запис само ваш. Читајте приказ као наговештај о ознаци, не као тврдњу о чувању.
Важи и обрнуто, и то је опаснији смер. Уверљив лого доказује још мање од оног који недостаје.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Никада се не уписујте поново да поправите слику
Поправка која кружи интернетом је поновно генерисање QR кода, што значи извоз тајне и провлачење кроз други алат. То претвара проблем приказа у откривање, јер извоз садржи управо материјал који је нападачу потребан за стварање важећих кодова. Пренос у веб генератор предаје други фактор трећој страни у замену за лепшу икону.
Ако налог још прихвата кодове, упис је нетакнут и приказ је козметички. Проверите сопствену документацију аутентификатора о ознакама издаваоца и тражењу икона и оставите запис на миру. Уређивање ознаке да би се присилио лого је промена записа из разлога који нема везе с аутентификацијом.
Држите оригиналну QR слику, сирови кључни URI и сваку ручну тајну подаље од тикета, chat нити, снимака екрана и јавних праћења проблема. Снимак екрана странице за подешавање често садржи више него што је особа која га је снимила намеравала.
Када је тајна заиста откривена
Третирајте откривање као одвојен инцидент са сопственим одговором. Користите подржани поступак замене у услузи да упишете нови аутентификатор, потврдите да нови запис даје прихваћене кодове и повуците стари упис на серверу. Брисање записа локално не уклања регистрацију на страни сервера, па откривена тајна може наставити да ради док се услузи не каже другачије. У том јазу између локалног брисања и стања сервера лежи већина ризика.
Редослед је овде важан. Прво упишите замену, проверите је и тек онда уклоните стару, јер ће вас већина услуга закључати ако последњи фактор нестане. Кодови за опоравак такође припадају том следу, јер су они резервни пут када телефон није доступан.
Проверите да ли је иста тајна коришћена негде другде. Кључни URI залепљен у генератор изашао је из ваше контроле и налог иза њега треба третирати као дељен док се регистрација не замени.
Захтеви подршци треба да опишу визуелни проблем без кодова или материјала за подешавање. Све што се тиче налога припада провереном каналу пружаоца, а не јавној нити.
Сачувајте пут опоравка пре брисања
Пре уклањања било ког радног записа, потврдите да постоји одобрен пут опоравка и да га можете користити. Козметичка поправка која заврши закључавањем гори је исход од погрешног лога, а закључавања су честа када је једини уписани уређај управо онај који се уређује.
Услов прихватања је узак: проверена веза између налога и аутентификатора, уз материјал за упис који се чува приватно. Позната значка није део тог услова и њено одсуство није доказ компромитације.
Сам формат кључног URI-ја документован је у спецификацији кључног URI-ја Google Authenticatora, што је и подсетник да садржај носи тајну, а не лого. Прочитајте је пре него што извезете било шта из записа који не можете приуштити да изгубите.