Два захтева за лозинку нису MFA: шта пријава на VPN проверава

Страница за пријаву тражи лозинку, затим другу тајну, и примена се одмах описује као вишефакторска. Понекад то и јесте. Често је то један чинилац прикупљен двапут, јер су обе вредности знање које је иста особа уписала из истог памћења или исте белешке. Јака шифра тунела то не мења, а ни реч „сигурно“ у називу производа.

Одвојити тврдњу од механизма тражи само једно питање: шта сваки корак доказује и коме?

Чинилац је доказ, а не поље

Вишефакторска аутентификација значи да се за исти налог проверава више од једне различите врсте доказа: нешто што корисник зна, нешто што поседује, нешто што јесте. Два поља која оба прикупљају запамћени низ једна су врста доказа затражена двапут. То може бити корисна контрола, јер је две независне тајне теже погодити него једну, али то није оно што појам описује и у процени ризика не би се тако требало рачунати.

Страна провере једнако је важна као страна прикупљања. Код генерисан на уређају доказује контролу над тим уређајем само ако га сервер провери према тајни везаној за овај налог и одбије понављања. Заједнички код који ради за свакога, код без ограничења покушаја или захтев одобрен на уређају који никада не показује шта се одобрава слабији су него што ознака сугерише.

Па кад неко пита има ли VPN MFA, питајте шта други корак доказује и како га сервер везује. Ако је одговор „друга лозинка из истог директоријума“, имате један чинилац и разговор о политици, а не други чинилац.

Случај сертификата треба читати, а не претпостављати

Клијентски сертификат плус лозинка изгледа као два чиниоца, и може бити: сертификат је смештен у складишту или на токену, а лозинка се памти. Може бити и један, ако датотека сертификата лежи незаштићена у истом профилном директоријуму као сачувана лозинка или ако је сертификат издат уређају који више људи дели без појединачне одговорности.

Питање које треба решити јесте кога или шта сертификат идентификује. Сертификат уређаја доказује да је присутан управљани рачунар. Кориснички сертификат доказује идентитет. Ако примена издаје један сертификат по преносном рачунару и затим његово присуство третира као доказ особе, други је чинилац тихо постао својство хардвера које наслеђује свако ко држи преносни рачунар.

Ништа од тога не чини сертификате лошом идејом. Чини разлику између гаранције уређаја и гаранције корисника вредном записа, јер оба одговарају на различита питања, а табела усаглашености која их броји као једно прецениће шта је заштићено.

Поверење у приступник и поверење у корисника одвојени су проблеми

Други чинилац не чини сигурним уписивање акредитива у крајњу тачку коју нисте проверили. Клијент мора препознати предвиђени приступник, а томе служе сертификат сервера и конфигурација поверења клијента. Phishing ради тако што пријаву премести на сервер који нападач контролише, а исправан једнократни код уписан тамо једноставно се у стварном времену прослеђује правој услузи.

Зато избор методе мења исход више од формулације захтева. Кодове које уписује особа може проследити свако ко зна да покаже уверљиву страницу, док се криптографске методе које аутентификацију везују за конкретно порекло и сесију томе одупиру по дизајну. Који од тога имате, својство је методе, а не броја корака у дијалогу.

Следите добављачев подржани поступак регистрације и ток клијента уместо да на поље за лозинку причврстите додатни захтев. Домаћи други корак обично заврши негде између тога, додајући трење без везе која чиниоцу даје смисао.

Опоравак су друга предња врата

Свака јака пријава има пут назад кад се аутентикатор изгуби, а тај је пут обично најслабије место дизајна. Ако агент подршке може да ресетује други чинилац након телефонског позива на број у евиденцији, најјефтинија рута нападача је служба за кориснике, а не страница за пријаву.

Питајте како замена функционише, ко је одобрава и које доказе траже. Затим проверите да се материјал за опоравак, попут резервних кодова, чува одвојено од примарних акредитива, како један компромис не би предао обоје. NIST-ове смернице за дигитални идентитет третирају везивање верификатора и животни циклус аутентикатора као део захтева, а не као оперативну накнадну мисао.

Шта написати у процени

Опишите чиниоце по врсти, наведите шта сваки доказује и наведите како је везан за налог. Забележите да ли се метода одупире прослеђивању и опишите пут опоравка са истом пажњом као пријаву.

Затим јасно реците да ли је примена вишефакторска према тој дефиницији. „Две лозинке и сертификат машине“ поштена је реченица и читаоцу говори много више од поља за потврду које каже да.