Je, TOTP kwenye kompyuta hiyo hiyo ni kweli kipengele cha pili?

Ingia kwenye mteja wa VPN anayetaka nenosiri kwanza na kisha msimbo wa tarakimu sita, na maombi mawili yanaonekana kama vizuizi viwili huru. Yakihesabiwa kwa aina ya kipengele, ndivyo yalivyo: nenosiri ni kitu unachojua, msimbo ni kitu unachomiliki. Yakihesabiwa kwa kile kompyuta moja iliyovunjwa inafichua, yanaweza kuanguka katika mpaka mmoja, kwa sababu kile unachomiliki ni faili kwenye mashine unayoandikia. Tofauti kati ya hesabu hizo mbili ndiyo mada ya mapitio haya.

Fuatilia kuingia kumoja kutoka sehemu ya nenosiri hadi kisanduku cha msimbo

Angalia mfuatano, si lebo. Mteja hutuma nenosiri, seva hujibu kwamba uthibitisho wa pili unahitajika, na mteja hufungua sehemu ya tarakimu sita au nane. Nyuma ya sehemu hiyo kuna programu ya kizalishaji inayoshikilia siri iliyoshirikiwa na saa. Inahesabu thamani kutoka kwa siri na hatua ya sasa ya muda, na seva inahesabu tena thamani hiyo hiyo kutoka kwenye nakala yake ya siri.

Pande zote mbili zinashikilia nyenzo sawa ya ufunguo. Ulinganifu huo ndio sehemu ambayo watu huikosa wanapoeleza msimbo kama siri: mtoa huduma anaweza pia kuzalisha misimbo yako, ndiyo sababu mbegu ina thamani zaidi kuliko pato lolote moja. Msimbo unaovuja ni thamani ya mara moja; mbegu iliyouzalisha ni kitambulisho cha kudumu kinachoendelea kuzalisha thamani halali hadi kibadilishwe.

Uanzishaji ni nusu nyingine ya mtiririko. Kizalishaji kinachofunguka kwa msimbo wa kifaa, ombi la kibayolojia au chombo kilichosimbwa hutoa uthibitisho wa umiliki pamoja na kitu kingine. Kile kinachofanya kazi bila usimbaji fiche na kufunguka kwa kipindi cha mfumo wa uendeshaji hutoa faili pekee. Programu hiyo hiyo inaweza kutoa mipangilio yote mawili kulingana na jinsi usajili ulifanyika, kwa hivyo uamuzi wa kupelekwa uko katika hatua hiyo, si kwenye ukurasa wa masoko wa programu.

Amua msimbo unathibitisha nini kwa kweli

Lugha ya viwango iko wazi isivyo kawaida hapa, na inafaa kusomwa moja kwa moja. Mwongozo wa NIST kuhusu vithibitishaji unaorodhesha vizalishaji vya OTP vya programu kama vithibitishaji, unatofautisha OTP ya kipengele kimoja na OTP ya vipengele vingi yenye kipengele cha uanzishaji, na unasema kwamba uthibitishaji wa OTP haustahimili utapeli wa mtandao. Kila kimoja cha vifungu hivyo vitatu kinabadilisha kile unachoweza kudai kuhusu ombi.

Kutostahimili utapeli wa mtandao ni ukingo mkali zaidi. Msimbo ulioandikwa kwenye sehemu unaweza kuandikwa kwenye sehemu ya mtu mwingine, kwa wakati halisi, na mtu aliyeshawishiwa kufanya hivyo. Dirisha ni fupi, jambo ambalo hupunguza idadi ya majaribio yenye manufaa lakini halifungi mbinu. Ikiwa hitaji lako linajumuisha kustahimili hilo, OTP ni msingi usiofaa, popote kizalishaji kinapofanya kazi.

Kipengele kimoja dhidi ya vipengele vingi ni tofauti ya pili. Msimbo unaoonekana bila hatua ya uanzishaji unathibitisha umiliki wa faili na hakuna kingine, na faili ina nguvu kadiri akaunti inayoweza kuifungua. Ongeza kipengele cha uanzishaji na dai linaboreshwa, ingawa bado linaeleza uthibitisho uliowasilishwa wakati wa kuingia, si utengano wa mashine inayouzalisha.

Tazama ni wapi kompyuta iliyovunjwa inaweza kufikia

Mshambuliaji aliye na utekelezaji wa msimbo kwenye kituo cha kazi hakizuiliwi kusoma sehemu unayoandikia. Kipindi kinachoanzishwa baada ya kuingia kwa mafanikio kawaida ni tokeni au kuki, na tokeni inaweza kutumika kutoka mashine nyingine bila msimbo wowote. Ikiwa hiyo ndio uwezo unaojilinda dhidi yake, kuongeza ombi la pili wakati wa kuingia kunabadilisha idadi ya hatua katika shambulio, si matokeo.

Soma safu ya tatu kama ile ya uaminifu. Kila mpangilio hapo juu unaacha kitu ndani ya mpaka wa uaminifu wa kituo cha kazi, kwa sababu kipindi hutumika hapo. Kinachobadilika ni kama siri ya muda mrefu inasafiri na mpaka huo au inabaki nje yake, na kama uthibitisho umefungwa na asili maalum ili ukurasa unaoiga usiweze kuupitisha.

Maelezo mawili madogo ni sehemu ya picha hiyo hiyo. Msimbo unabaki halali katika dirisha lake la kukubaliwa, mara nyingi sekunde thelathini pamoja na uvumilivu wa mkengeuko wa saa, kwa hivyo thamani iliyonaswa inaweza kuchezwa tena ndani ya dirisha hilo isipokuwa mthibitishaji anakataa matumizi ya mara ya pili. Na kusakinisha kizalishaji kipya hakumalizi vipindi vilivyothibitishwa tayari, kwa hivyo kipindi cha zamani kinaishi zaidi ya mabadiliko ya kitambulisho ambayo yalipaswa kudhibiti tukio.

Hamisha kizalishaji tu pale ambapo utenganishaji unasaidia

Kuweka kizalishaji cha misimbo kwenye simu ni uboreshaji wa kweli kwa hitilafu moja maalum: kompyuta iliyoibwa haibebi tena uthibitisho wote wawili. Lakini haifanyi chochote dhidi ya utekaji wa kipindi kwenye kompyuta, haifanyi chochote kwa mtumiaji anayeandika msimbo kwenye ukurasa wa utapeli, na haifanyi chochote kwa misimbo ya urejeshaji iliyochapishwa mara moja na kupigwa picha kwenye programu ya maelezo.

Kwa hivyo andika hitaji kabla ya kuchagua chombo. Ikiwa lengo ni uthibitisho wa ziada dhidi ya nenosiri lililovuja, sema hivyo wazi, na programu kwenye kifaa hicho tayari inaitoa. Ikiwa lengo ni ustahimilivu dhidi ya uvunjaji wa kituo cha kazi cha VPN, taja uwezo huo wa mshambuliaji na uchague mpangilio uliopimwa kwa ajili yake, na hitaji la utapeli lisiwekwe kama dhana bali lielezwe tofauti.

Kisha shughulikia nusu ya uendeshaji, ambayo huamua kama kitu chochote cha haya kitastahimili kukutana na tukio. Kupoteza kifaa kunahitaji njia ya uingizwaji iliyoandikwa, mzunguko wa vitambulisho unahitaji kufuta vipindi vinavyotumika, na nyenzo za usajili zinahitaji ulinzi sawa na mbegu, kwa sababu nakala ya usajili isiyolindwa inampa mshambuliaji misimbo hiyo hiyo ya baadaye kwa njia fupi. Kuorodhesha vipengele hivyo vinne ni muhimu zaidi kuliko kubishana kama tokeni za kifaa kimoja ni nzuri au hazina thamani.