ஒரே மடிக்கணினியில் TOTP உண்மையில் இரண்டாவது காரணியா?
VPN மடிக்கணினியின் குறியீட்டு உருவாக்கி அதே சமரச எல்லைக்குள் இருக்கும் உடைமைக் காரணியாகும். முதலில் விதையையும் அமர்வையும் கண்காணிக்கவும்.
முதலில் கடவுச்சொல்லையும் பின்னர் ஆறு இலக்கக் குறியீட்டையும் கேட்கும் VPN வாடிக்கையாளரில் உள்நுழையுங்கள், இரண்டு கோரிக்கைகளும் இரண்டு சுயாதீனத் தடைகள் போலத் தெரிகின்றன. காரணி வகையால் எண்ணினால் அவை அப்படியே: கடவுச்சொல் நீங்கள் அறிந்தது, குறியீடு நீங்கள் வைத்திருப்பது. சமரசம் ஆன ஒரு மடிக்கணினி வெளிப்படுத்துவதைக் கொண்டு எண்ணினால், நீங்கள் வைத்திருப்பது நீங்கள் தட்டச்சு செய்யும் இயந்திரத்தில் உள்ள கோப்பு என்பதால், அவை ஒரே எல்லைக்குள் சுருங்கலாம். இந்த இரண்டு எண்ணிக்கைகளுக்கு இடையிலான இடைவெளியே இந்த மதிப்பாய்வின் பொருள்.
கடவுச்சொல் புலத்திலிருந்து குறியீட்டுப் பெட்டி வரை ஒரு உள்நுழைவைக் கண்காணிக்கவும்
லேபிள்களை அல்ல, வரிசையைப் பாருங்கள். வாடிக்கையாளர் கடவுச்சொல்லை அனுப்புகிறார், சேவையகம் இரண்டாவது சான்று தேவை என்று பதிலளிக்கிறது, வாடிக்கையாளர் ஆறு அல்லது எட்டு இலக்கங்களுக்குப் புலத்தைத் திறக்கிறார். அந்தப் புலத்தின் பின்னால் பகிரப்பட்ட ரகசியமும் கடிகாரமும் கொண்ட உருவாக்கி பயன்பாடு உள்ளது. அது ரகசியத்திலிருந்தும் தற்போதைய நேரப் படியிலிருந்தும் மதிப்பைக் கணக்கிடுகிறது, சேவையகம் தன் ரகசிய நகலிலிருந்து அதே மதிப்பை மீண்டும் கணக்கிடுகிறது.
இரு பக்கமும் ஒரே விசைப் பொருளை வைத்திருக்கின்றன. குறியீட்டை ரகசியம் என்று விவரிக்கும்போது மக்கள் தவறவிடும் பகுதி இந்த சமச்சீர்மையே: வழங்குநரும் உங்கள் குறியீடுகளை உருவாக்க முடியும், அதனால் விதை எந்த ஒரு தனிப்பட்ட வெளியீட்டையும் விட மதிப்புள்ளது. கசிந்த குறியீடு ஒரு முறை மட்டும் பயன்படும் மதிப்பு; அதை உருவாக்கிய விதை, மாற்றப்படும் வரை செல்லுபடியாகும் மதிப்புகளை உருவாக்கும் நிரந்தர அடையாளச் சான்றாகும்.
செயல்படுத்தல் என்பது ஓட்டத்தின் மறு பாதி. சாதனக் கடவுக்குறியீடு, உயிரியல் கோரிக்கை அல்லது மறையாக்கப்பட்ட கொள்கலனால் திறக்கும் உருவாக்கி, உடைமைச் சான்றுடன் வேறு ஒன்றையும் வழங்குகிறது. மறையாக்கம் இல்லாமல் இயங்கி, இயங்குதள அமர்வால் திறக்கும் உருவாக்கி கோப்பை மட்டுமே வழங்குகிறது. அதே பயன்பாடு, பதிவு எவ்வாறு செய்யப்பட்டது என்பதைப் பொறுத்து இரு ஏற்பாடுகளையும் வழங்கலாம், எனவே பயன்பாட்டு முடிவு அந்தப் படியில் உள்ளது, பயன்பாட்டின் சந்தைப்படுத்தல் பக்கத்தில் அல்ல.
குறியீடு உண்மையில் எதை நிரூபிக்கிறது என்பதைத் தீர்மானிக்கவும்
தரங்களின் மொழி இங்கே அசாதாரணமாகத் தெளிவாக உள்ளது, நேரடியாகப் படிக்கத் தகுந்தது. NIST இன் அங்கீகரிப்பான் வழிகாட்டுதல் மென்பொருள் அடிப்படையிலான OTP உருவாக்கிகளை அங்கீகரிப்பான்களாகப் பட்டியலிடுகிறது, செயல்படுத்தல் காரணியுடன் கூடிய பல-காரணி OTP இலிருந்து ஒற்றை-காரணி OTP ஐ வேறுபடுத்துகிறது, OTP அங்கீகாரம் ஃபிஷிங்-எதிர்ப்பு அல்ல என்று கூறுகிறது. அந்த மூன்று விதிகளில் ஒவ்வொன்றும் கோரிக்கை குறித்து நீங்கள் என்ன கூறலாம் என்பதை மாற்றுகிறது.
ஃபிஷிங்கை எதிர்க்காதது மிகக் கூர்மையான விளிம்பு. ஒரு புலத்தில் தட்டச்சு செய்யப்பட்ட குறியீட்டை இன்னொருவரின் புலத்தில், நிகழ்நேரத்தில், அதற்கு இணங்க வைக்கப்பட்ட ஒருவரால் தட்டச்சு செய்ய முடியும். சாளரம் குறுகியது, இது பயனுள்ள முயற்சிகளின் எண்ணிக்கையைக் குறைக்கிறது ஆனால் நுட்பத்தை மூடவில்லை. உங்கள் தேவையில் அதை எதிர்ப்பது அடங்கியிருந்தால், உருவாக்கி எங்கு இயங்கினாலும் OTP தவறான அடிப்படை.
ஒற்றை-காரணி எதிர் பல-காரணி என்பது இரண்டாவது வேறுபாடு. செயல்படுத்தல் படி இல்லாமல் தோன்றும் குறியீடு கோப்பின் உடைமையை நிரூபிக்கிறது, வேறெதையும் அல்ல, கோப்பு அதைப் படிக்கக்கூடிய கணக்கின் அளவுக்கே வலிமையானது. செயல்படுத்தல் காரணியைச் சேர்த்தால் கூற்று மேம்படும், இருப்பினும் அது இன்னும் உள்நுழைவில் வழங்கப்பட்ட சான்றை விவரிக்கிறது, அதை உருவாக்கும் இயந்திரத்தின் தனிமையை அல்ல.
சமரசம் ஆன மடிக்கணினி எங்கு வரை செல்ல முடியும் என்பதைப் பாருங்கள்
பணிநிலையத்தில் குறியீட்டுச் செயலாக்கம் உள்ள தாக்குபவர் நீங்கள் தட்டச்சு செய்யும் புலத்தைப் படிப்பதற்கே மட்டுப்படவில்லை. வெற்றிகரமான உள்நுழைவுக்குப் பின் நிறுவப்படும் அமர்வு பொதுவாக ஒரு டோக்கன் அல்லது குக்கி, டோக்கனை எந்தக் குறியீடும் இல்லாமல் வேறு இயந்திரத்திலிருந்து பயன்படுத்தலாம். நீங்கள் பாதுகாக்கும் திறன் அதுவானால், உள்நுழைவில் இரண்டாவது கோரிக்கையைச் சேர்ப்பது தாக்குதலின் படிகளின் எண்ணிக்கையை மாற்றுகிறது, முடிவை அல்ல.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
மூன்றாவது நெடுவரிசையை நேர்மையானதாகப் படியுங்கள். மேலே உள்ள ஒவ்வொரு ஏற்பாடும் பணிநிலையத்தின் நம்பிக்கை எல்லைக்குள் ஏதோ ஒன்றை விட்டுச் செல்கிறது, ஏனெனில் அமர்வு அங்கேயே பயன்படுத்தப்படுகிறது. மாறுவது என்னவென்றால், நீண்டகால ரகசியம் அந்த எல்லையுடன் பயணிக்கிறதா அல்லது அதற்கு வெளியே தங்குகிறதா, மற்றும் சான்று ஒரு குறிப்பிட்ட மூலத்துடன் பிணைக்கப்பட்டுள்ளதா என்பதே, அதனால் போலி பக்கம் அதை முன்னனுப்ப முடியாது.
இன்னும் இரண்டு சிறிய விவரங்கள் அதே படத்தின் பங்கு. குறியீடு அதன் ஏற்புச் சாளரம் முழுவதும் செல்லுபடியாகும், பெரும்பாலும் முப்பது வினாடிகள் கூடுதலாக கடிகார விலகலுக்கான பொறுத்தம், எனவே பிடிபட்ட மதிப்பை அந்தச் சாளரத்திற்குள் மீண்டும் இயக்கலாம், சரிபார்ப்பவர் மறுபயன்பாட்டை மறுத்தால் தவிர. புதிய உருவாக்கியை நிறுவுவது ஏற்கனவே அங்கீகரிக்கப்பட்ட அமர்வுகளை முடிவுக்குக் கொண்டுவராது, எனவே பழைய அமர்வு சம்பவத்தைக் கட்டுப்படுத்த வேண்டியிருந்த அடையாளச் சான்று மாற்றத்தை விட நீண்ட காலம் வாழ்கிறது.
பிரிப்பு உதவும் இடத்திற்கு மட்டுமே உருவாக்கியை நகர்த்துங்கள்
குறியீட்டு உருவாக்கியை தொலைபேசியில் வைப்பது ஒரு குறிப்பிட்ட தோல்விக்கு உண்மையான மேம்பாடு: திருடப்பட்ட மடிக்கணினி இனி இரண்டு சான்றுகளையும் சுமக்காது. ஆனால் மடிக்கணினியில் அமர்வுக் கடத்தலுக்கு எதுவும் செய்யாது, ஃபிஷிங் பக்கத்தில் குறியீட்டைத் தட்டச்சு செய்யும் பயனருக்கும் எதுவும் செய்யாது, ஒருமுறை அச்சிட்டு குறிப்பு பயன்பாட்டில் புகைப்படமெடுக்கப்பட்ட மீட்புக் குறியீடுகளுக்கும் எதுவும் செய்யாது.
எனவே கருவியைத் தேர்ந்தெடுப்பதற்கு முன் தேவையை எழுதுங்கள். இலக்கு கசிந்த கடவுச்சொல்லுக்கு எதிரான கூடுதல் சான்று என்றால், அதை வெளிப்படையாகச் சொல்லுங்கள், அதே சாதனத்தின் பயன்பாடு அதை ஏற்கனவே வழங்குகிறது. இலக்கு VPN பணிநிலையத்தின் சமரசத்திற்கு எதிரான மீட்சி என்றால், அந்தத் தாக்குபவர் திறனைப் பெயரிட்டு அதற்காக மதிப்பிடப்பட்ட ஏற்பாட்டைத் தேர்ந்தெடுங்கள், ஃபிஷிங் தேவையை அனுமானிக்காமல் தனியாகக் குறிப்பிடுங்கள்.
பின்னர் செயல்பாட்டு பாதியைக் கையாளுங்கள், இவற்றில் ஏதேனும் ஒரு சம்பவத்துடன் தொடர்பு கொண்டு தப்பிப்பிழைக்குமா என்பதை அது தீர்மானிக்கிறது. சாதன இழப்புக்கு ஆவணப்படுத்தப்பட்ட மாற்றுப் பாதை தேவை, அடையாளச் சான்று சுழற்சிக்கு செயலில் உள்ள அமர்வுகளை ரத்து செய்ய வேண்டும், பதிவுப் பொருளுக்கு விதையின் அதே பாதுகாப்பு தேவை, ஏனெனில் பாதுகாக்கப்படாத பதிவு நகல் தாக்குபவருக்கு அதே எதிர்காலக் குறியீடுகளைக் குறுகிய வழியில் தருகிறது. இந்த நான்கு உருப்படிகளை எண்ணுவது அதே சாதனத்தின் டோக்கன்கள் நல்லதா அல்லது மதிப்பற்றதா என்ற விவாதத்தை விட பயனுள்ளது.