இரண்டு கடவுச்சொல் கோரல்கள் MFA அல்ல: VPN உள்நுழைவு எதைச் சரிபார்க்கிறது

உள்நுழைவுப் பக்கம் முதலில் கடவுச்சொல்லைக் கேட்கிறது, பின்னர் இரண்டாவது ரகசியத்தை, மேலும் வரிசைப்படுத்தல் உடனடியாகப் பல்காரணி என விவரிக்கப்படுகிறது. சில நேரங்களில் அது உண்மை. பல நேரங்களில் அது ஒரே காரணி இருமுறை சேகரிக்கப்படுகிறது, ஏனெனில் இரண்டு மதிப்புகளும் அதே நபர் அதே நினைவகத்திலிருந்து அல்லது அதே குறிப்பிலிருந்து தட்டச்சு செய்த அறிவே. வலுவான சுரங்கப்பாதை மறையாக்கம் அதை மாற்றாது, தயாரிப்பின் பெயரில் உள்ள „பாதுகாப்பான“ என்ற சொல்லும் மாற்றாது.

கூற்றை இயங்குமுறையிலிருந்து பிரிக்க ஒரே கேள்வி தேவை: ஒவ்வொரு படியும் எதை, யாரிடம் நிரூபிக்கிறது?

காரணி ஒரு சான்று, புலம் அல்ல

பல்காரணி அங்கீகாரம் என்றால் ஒரே கணக்கிற்கு ஒன்றுக்கு மேற்பட்ட வேறுபட்ட வகைச் சான்றுகள் சரிபார்க்கப்படுகின்றன: பயனர் அறிந்த ஒன்று, அவரிடம் உள்ள ஒன்று, அவர் ஆகும் ஒன்று. இரண்டும் ஒரு நினைவில் வைக்கப்பட்ட சரத்தைச் சேகரிக்கும் இரு புலங்கள் இருமுறை கேட்கப்பட்ட ஒரே வகைச் சான்று. இது பயனுள்ள கட்டுப்பாடாக இருக்கலாம், ஏனெனில் இரு சுயாதீன ரகசியங்களை ஊகிப்பது ஒன்றை விடக் கடினம், ஆனால் இது சொல் விவரிப்பது அல்ல, ஆபத்து மதிப்பீட்டில் இவ்வாறு கணக்கிடப்படக் கூடாது.

சரிபார்ப்புப் பக்கம் சேகரிப்புப் பக்கத்திற்கு சமமான முக்கியத்துவம் வாய்ந்தது. சாதனத்தில் உருவாக்கப்பட்ட குறியீடு அந்தச் சாதனத்தின் கட்டுப்பாட்டை அந்தக் கணக்குடன் இணைந்த ரகசியத்திற்கு எதிராக சேவையகம் சரிபார்த்து மீள்வுகளை நிராகரித்தால் மட்டுமே நிரூபிக்கிறது. அனைவருக்கும் வேலை செய்யும் பகிரப்பட்ட குறியீடு, வரம்பற்ற குறியீடு, அல்லது எது அங்கீகரிக்கப்படுகிறது என ஒருபோதும் காட்டாத சாதனத்தில் அங்கீகரிக்கப்பட்ட கோரிக்கை — இவை அனைத்தும் லேபிள் குறிப்பதை விட பலவீனம்.

எனவே யாராவது VPN-இல் MFA உள்ளதா எனக் கேட்டால், இரண்டாவது படி எதை நிரூபிக்கிறது, சேவையகம் அதை எவ்வாறு இணைக்கிறது எனக் கேளுங்கள். பதில் „அதே கோப்பகத்திலிருந்து இரண்டாவது கடவுச்சொல்“ எனில், உங்களிடம் ஒரு காரணியும் கொள்கை பற்றிய உரையாடலும் உள்ளன, இரண்டாவது காரணி இல்லை.

சான்றிதழ் விவகாரத்தைப் படிக்க வேண்டும், ஊகிக்கக் கூடாது

வாடிக்கையாளர் சான்றிதழுடன் கடவுச்சொல் இரண்டு காரணிகளாகத் தோன்றுகிறது, அதுவாகவும் இருக்கலாம்: சான்றிதழ் ஒரு களஞ்சியத்தில் அல்லது டோக்கனில் வைக்கப்படுகிறது, கடவுச்சொல் நினைவில் வைக்கப்படுகிறது. ஒரே காரணியாகவும் இருக்கலாம், சான்றிதழ் கோப்பு சேமிக்கப்பட்ட கடவுச்சொல்லுடன் அதே சுயவிவரக் கோப்பகத்தில் பாதுகாப்பின்றி இருந்தால், அல்லது பலர் தனிப்பட்ட பொறுப்பின்றி பகிரும் சாதனத்திற்குச் சான்றிதழ் வழங்கப்பட்டிருந்தால்.

தீர்க்க வேண்டிய கேள்வி, சான்றிதழ் யாரை அல்லது எதை அடையாளம் காட்டுகிறது என்பது. சாதனச் சான்றிதழ் நிர்வகிக்கப்பட்ட இயந்திரம் உள்ளது என நிரூபிக்கிறது. பயனர் சான்றிதழ் ஒரு அடையாளத்தை நிரூபிக்கிறது. ஒவ்வொரு மடிக்கணினிக்கும் ஒரு சான்றிதழை வழங்கி, பின்னர் அதன் இருப்பை நபருக்கான சான்றாகக் கருதினால், இரண்டாவது காரணி மடிக்கணினியைப் பிடித்திருக்கும் ஒவ்வொருவரும் வாரிசாகப் பெறும் வன்பொருளின் பண்பாக அமைதியாக மாறிவிட்டது.

இவற்றில் எதுவும் சான்றிதழ்களை மோசமான யோசனையாக்கவில்லை. சாதன உறுதிப்பாடு மற்றும் பயனர் உறுதிப்பாடு இடையிலான வேறுபாட்டை எழுதத் தகுந்ததாக்குகிறது, ஏனெனில் இரண்டும் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன, அவற்றை ஒன்றாக எண்ணும் இணக்க விரிதாள் எது பாதுகாக்கப்படுகிறது என்பதை மிகைப்படுத்தும்.

நுழைவாயிலில் நம்பிக்கையும் பயனரில் நம்பிக்கையும் தனித்தனி சிக்கல்கள்

நீங்கள் சரிபார்க்காத இறுதிப்புள்ளியில் சான்றுகளைத் தட்டச்சு செய்வதை இரண்டாவது காரணி பாதுகாப்பாக்காது. வாடிக்கையாளர் நோக்கமிடப்பட்ட நுழைவாயிலை அடையாளம் காண வேண்டும், அதற்கே சேவையகச் சான்றிதழும் வாடிக்கையாளரின் நம்பிக்கை அமைப்பும் உள்ளன. ஃபிஷிங் உள்நுழைவைத் தாக்குபவர் கட்டுப்படுத்தும் சேவையகத்திற்கு நகர்த்துவதன் மூலம் செயல்படுகிறது, அங்கு உள்ளிடப்படும் சரியான ஒருமுறைக் குறியீடு நிகழ்நேரத்திலேயே உண்மையான சேவைக்கு அனுப்பப்படுகிறது.

எனவே முறையின் தேர்வு கோரிக்கையின் சொற்களை விட முடிவை அதிகம் மாற்றுகிறது. ஒரு நபர் தட்டச்சு செய்யும் குறியீடுகளை நம்பகமான பக்கத்தைக் காட்டக்கூடிய யாரும் அனுப்பலாம், ஆனால் அங்கீகாரத்தைக் குறிப்பிட்ட மூலத்துடனும் அமர்வுடனும் இணைக்கும் மறையீட்டு முறைகள் தங்கள் வடிவமைப்பாலேயே அந்த அனுப்புதலுக்கு எதிர்க்கின்றன. இவற்றில் எது உங்களிடம் உள்ளது என்பது முறையின் பண்பு, உரையாடலின் படிகளின் எண்ணிக்கை அல்ல.

வழங்குநர் ஆதரிக்கும் பதிவு மற்றும் வாடிக்கையாளர் ஓட்டத்தைப் பின்பற்றுங்கள், கடவுச்சொல் புலத்தில் கூடுதல் கோரிக்கையைத் திருகுவதற்குப் பதிலாக. வீட்டில் உருவாக்கிய இரண்டாவது படி பொதுவாக இடையில் எங்கோ இறங்குகிறது, காரணியை அர்த்தமுள்ளதாக்கும் இணைப்பு இல்லாமல் உராய்வைச் சேர்க்கிறது.

மீட்பு இரண்டாவது முன் கதவு

ஒவ்வொரு வலுவான உள்நுழைவுக்கும் அங்கீகாரம் இழக்கப்படும்போது திரும்பும் வழி உள்ளது, அந்த வழியே பொதுவாக வடிவமைப்பின் மிகப் பலவீனமான இடம். ஆதரவு முகவர் பதிவு செய்யப்பட்ட எண்ணுக்கு அழைத்த பிறகு இரண்டாவது காரணியை மீட்டமைக்க முடிந்தால், தாக்குபவருக்கு மலிவான பாதை உள்நுழைவுப் பக்கம் அல்ல, ஆதரவு மேசை.

மாற்றீடு எவ்வாறு செயல்படுகிறது, யார் அதை அங்கீகரிக்கிறார், என்ன சான்றுகள் கேட்கப்படுகின்றன எனக் கேளுங்கள். பின்னர் காப்புக் குறியீடுகள் போன்ற மீட்புப் பொருள் முதன்மைச் சான்றுகளிலிருந்து தனியாக வைக்கப்படுகிறதா எனச் சரிபார்க்கவும், ஒரு மீறல் இரண்டையும் ஒப்படைக்காதபடி. NIST-இன் மின்னணு அடையாள வழிகாட்டுதல் சரிபார்ப்பான் இணைப்பையும் அங்கீகாரத்தின் வாழ்க்கைச் சுழற்சியையும் தேவையின் பகுதியாகக் கருதுகிறது, பிற்காலச் செயல்பாட்டுச் சிந்தனையாக அல்ல.

மதிப்பீட்டில் என்ன எழுத வேண்டும்

காரணிகளை வகைப்படி விவரியுங்கள், ஒவ்வொன்றும் எதை நிரூபிக்கிறது எனப் பெயரிடுங்கள், கணக்குடன் எவ்வாறு இணைக்கப்பட்டுள்ளது எனக் குறிப்பிடுங்கள். முறை அனுப்புதலை எதிர்க்கிறதா எனக் கவனியுங்கள், மீட்புப் பாதையை உள்நுழைவைப் போலவே கவனத்துடன் விவரியுங்கள்.

பின்னர் அந்த வரையறைப்படி வரிசைப்படுத்தல் பல்காரணியா எனத் தெளிவாகச் சொல்லுங்கள். „இரண்டு கடவுச்சொற்கள் மற்றும் ஒரு இயந்திரச் சான்றிதழ்“ என்பது நேர்மையான வாக்கியம், அது „ஆம்“ எனும் தேர்வுப்பெட்டியை விட வாசகருக்கு மிக அதிகம் சொல்கிறது.