Ombi la MFA la VPN limekataliwa: mteja anapaswa kufanya nini

Ombi la MFA lililokataliwa linaonekana kama tatizo la mtandao na sivyo. Seva iliomba kipengele cha pili, kipengele kilirudi hasi au hakikufika kabisa, na kikao kilikataliwa kabla ya kuwepo kwa handaki lolote. Kinachofuata ni suala la tabia ya mteja: kuonyesha kushindikana na kumruhusu mtumiaji kuanza jaribio safi, au kujaribu tena kwa njia zinazozalisha maombi zaidi na hatimaye kuwasha ulinzi wa akaunti. Njia ya pili ni jinsi msimbo mmoja ulioandikwa vibaya unakuwa akaunti iliyofungwa.

Angalia ni ombi gani lilishindikana

Anza kwa kutambua ni ombi gani lilishindikana. Arifa ya push, msimbo wa TOTP, uthibitisho wa FIDO na mtiririko wa SAML kila kimoja kinashindikana kwa namna tofauti, na mteja kwa kawaida anajua aliloomba kipi. Kukataliwa, changamoto iliyoisha muda na kushindikana kwa uwasilishaji ambako hakukufika kwenye kifaa—vyote vinaishia kwenye hitilafu moja ya jumla, kwa hiyo tofauti mara nyingi hubaki tu katika hali ya mteja mwenyewe.

Hali hiyo inafaa kuandikwa kwa usahihi. Andika kitambulisho cha changamoto au kumbukumbu ya muamala, aina ya kipengele, alama ya muda na matokeo, lakini kamwe usiandike msimbo au uthibitisho. Kitambulisho cha changamoto ndicho kinachomwezesha msimamizi kupata tukio upande wa mtoa utambulisho; bila hicho mazungumzo ya msaada yanaanza na “mahali fulani katika saa iliyopita” na kwa kawaida huishia hapo. Ichukulie kama metadata ya uchunguzi, si siri.

Jaribu tena mara moja, kwa makusudi, ukitumia changamoto mpya

Jaribio jipya linapaswa kuwa jaribio jipya lenye changamoto mpya, si kurudia la zamani. Mteja anapotumia tena changamoto ya awali, mtoa utambulisho aidha anaikataa kama iliyopitwa na wakati au, mbaya zaidi, anakubali idhini iliyokusudiwa jaribio la awali. Omba changamoto mpya, ionyeshe na umruhusu mtumiaji kuchukua hatua kwa ile iliyo kwenye skrini sasa.

Majaribio mawili yenye mapumziko mafupi kati yao ni chaguo-msingi linalofaa; mzunguko usio na kikomo haufai. Iwapo jaribio la pili linashindikana kwa namna hiyo hiyo, simama na uripoti badala ya kuendelea.

Mteja asifanye nini

Mteja asifanye mambo kadhaa yanayoonekana kusaidia na hayasaidii. Asiendelee kutuma arifa za push hadi mtu agonge “idhinisha”, kwa sababu hiyo inawafundisha watumiaji kuidhinisha maombi ambayo hawakuyaanzisha, na hiyo ndiyo tabia ambayo vifaa vya uharibifu wa mtandao (phishing) hutegemea. Asibadilike kwenda kipengele dhaifu kwa sababu kile chenye nguvu kimeshindikana, na asizime ukaguzi wa utambulisho wa seva ili kuepuka malalamiko ya cheti yaliyojitokeza wakati huo huo. Kila moja ya njia hizi tatu za mkato hugeuza kushindikana kwa uthibitishaji kuwa tukio la usalama.

Pia asimeze kushindikana kwa kimya. Mteja anayefunga muunganisho na kuonyesha kizunguzungu humwacha mtumiaji bila wazo la kama ajaribu tena, asubiri au ampigie msaada. Onyesha kushindikana pamoja na aina ya kipengele na msimbo mfupi, weka ujumbe bila siri, na ufanye kitendo cha kujaribu tena kiwe wazi badala ya kiotomatiki.

Ikiwa ombi halikuanzishwa na mtu aliye kwenye kibodi, hatua sahihi ni kuliacha likiwa limekataliwa na kuripoti kupitia njia ya msaada iliyothibitishwa. Kuidhinisha ombi ili kusimamisha kelele ni mfano wa kushindikana, si suluhisho.

Nini cha kuandika kwa ajili ya msaada

Kwa msaada, rekodi muhimu ni ndogo. Muda wa makadirio pamoja na eneo la saa, akaunti, mteja na toleo, aina ya kipengele, na hali isiyo ya siri ya kila jaribio: limeombwa, limekataliwa, limeisha muda, limeidhinishwa lakini likakataliwa na sera.

Fuatilia pia saa za mteja na seva. TOTP ni ukaguzi wa dirisha la muda, kwa hiyo kifaa ambacho saa yake imehamishwa huzalisha misimbo inayoonekana halali na kushindikana kila mara, na mteja anayeripoti msimbo batili bila kutaja uhamisho hupeleka watu kuweka upya vitambulisho ambavyo havikuwa vibaya kamwe. Mtumiaji ambaye kuingia kwake kunashindikana mara kwa mara anapaswa kuangalia toleo la mteja linalosaidiwa, hali ya usajili na mtiririko wa urejeshaji ulioandikwa kabla ya kuzalisha maombi zaidi.

Njia ya urejeshaji inastahili uangalifu kama ule wa njia ya kuingia. Mtiririko wa kazi wa kifaa kilichopotea upo hasa ili kukataliwa kusiwe ruhusa ya kukwepa uthibitishaji, na mteja anapaswa kuunganisha mchakato ulioandikwa wa shirika badala ya kubuni wake mwenyewe.

Kanuni ya kujenga juu yake ni kwamba kukataliwa ni matokeo, si kizuizi. Ripoti mara moja, kwa uwazi, ukiwa na muktadha wa kutosha wa kuchukua hatua, na uache jaribio linalofuata liwe jipya. Mwongozo wa CISA kuhusu MFA inayostahimili phishing unaeleza kwa nini mtindo wa “uliza hadi iidhinishwe” ni hatari tangu mwanzo, na ndiyo kumbukumbu inayofaa kutajwa mtu anapopendekeza mzunguko wa kujaribu tena. Kila kitu ambacho mteja anaongeza baada ya kukataliwa kinapaswa kufanya uamuzi unaofuata kuwa rahisi kwa mtu, si kuondoa uamuzi kutoka kwake.