అదే ల్యాప్‌టాప్‌లో TOTP నిజంగా రెండవ కారకమా?
VPN ల్యాప్‌టాప్‌లోని కోడ్ జనరేటర్ అదే రాజీ సరిహద్దు లోపల ఉన్న స్వామ్య కారకం. మొదట విత్తనాన్ని మరియు సెషన్‌ను ట్రేస్ చేయండి.
మొదట పాస్‌వర్డ్, తర్వాత ఆరు అంకెల కోడ్ అడిగే VPN క్లయింట్‌లో సైన్ ఇన్ చేయండి, మరియు రెండు అభ్యర్థనలు రెండు స్వతంత్ర అడ్డంకులుగా కనిపిస్తాయి. కారక రకం ప్రకారం లెక్కిస్తే అవి అలాగే ఉన్నాయి: పాస్‌వర్డ్ మీకు తెలిసినది, కోడ్ మీ వద్ద ఉన్నది. రాజీకి గురైన ఒక ల్యాప్‌టాప్ ఏమి బయటపెడుతుంది అని లెక్కిస్తే, మీరు టైప్ చేస్తున్న యంత్రంలోని ఫైల్ మీ వద్ద ఉన్నది కాబట్టి అవి ఒకే సరిహద్దులో కుప్పకూలవచ్చు. ఈ రెండు లెక్కల మధ్య ఉన్న గ్యాప్ ఈ సమీక్ష అంశం.
పాస్‌వర్డ్ ఫీల్డ్ నుండి కోడ్ బాక్స్ వరకు ఒక లాగిన్‌ను ట్రేస్ చేయండి
లేబుళ్లను కాదు, క్రమాన్ని చూడండి. క్లయింట్ పాస్‌వర్డ్ పంపుతుంది, సర్వర్ రెండవ రుజువు అవసరమని సమాధానమిస్తుంది, క్లయింట్ ఆరు లేదా ఎనిమిది అంకెల కోసం ఫీల్డ్ తెరుస్తుంది. ఆ ఫీల్డ్ వెనుక పంచుకున్న రహస్యం మరియు గడియారం ఉన్న జనరేటర్ అప్లికేషన్ ఉంది. అది రహస్యం మరియు ప్రస్తుత సమయ దశ నుండి విలువను లెక్కిస్తుంది, సర్వర్ రహస్యం యొక్క తన కాపీ నుండి అదే విలువను తిరిగి లెక్కిస్తుంది.
రెండు వైపులా ఒకే కీ పదార్థం ఉంటుంది. కోడ్‌ను రహస్యం అని వివరించేటప్పుడు ప్రజలు కోల్పోయే భాగం ఈ సమరూపత: ప్రదాత కూడా మీ కోడ్‌లను సృష్టించగలడు, అందుకే విత్తనం ఏ ఒక్క అవుట్‌పుట్ కంటే ఎక్కువ విలువైనది. లీక్ అయిన కోడ్ ఒకసారి మాత్రమే ఉపయోగించే విలువ; దాన్ని సృష్టించిన విత్తనం భర్తీ అయ్యే వరకు చెల్లుబాటు అయ్యే విలువలను ఉత్పత్తి చేసే శాశ్వత ఆధారం.
యాక్టివేషన్ ప్రవాహంలోని మరో సగం. పరికర పాస్‌కోడ్, బయోమెట్రిక్ అభ్యర్థన లేదా ఎన్‌క్రిప్ట్ చేసిన కంటైనర్‌తో తెరిచే జనరేటర్ స్వామ్య రుజువుతో పాటు మరొకటి అందిస్తుంది. ఎన్‌క్రిప్షన్ లేకుండా నడిచి ఆపరేటింగ్ సిస్టమ్ సెషన్‌తో తెరిచేది ఫైల్‌ను మాత్రమే అందిస్తుంది. అదే అప్లికేషన్ నమోదు ఎలా జరిగిందనే దాన్ని బట్టి రెండు ఏర్పాట్లను అందించగలదు, కాబట్టి అమలు నిర్ణయం ఆ దశలో ఉంటుంది, యాప్ మార్కెటింగ్ పేజీలో కాదు.
కోడ్ నిజంగా ఏమి నిరూపిస్తుందో నిర్ణయించండి
ప్రమాణాల భాష ఇక్కడ అసాధారణంగా స్పష్టంగా ఉంది, నేరుగా చదవదగినది. NIST యొక్క ధృవీకర్తల మార్గదర్శకం సాఫ్ట్‌వేర్ ఆధారిత OTP జనరేటర్‌లను ధృవీకర్తలుగా జాబితా చేస్తుంది, యాక్టివేషన్ కారకంతో ఉన్న బహు-కారక OTP నుండి ఏక-కారక OTP ను వేరు చేస్తుంది, OTP ధృవీకరణ ఫిషింగ్-నిరోధకం కాదని చెబుతుంది. ఆ మూడు నిబంధనలలో ఒక్కొక్కటి అభ్యర్థన గురించి మీరు ఏమి క్లెయిమ్ చేయగలరో మారుస్తుంది.
ఫిషింగ్‌ను నిరోధించలేకపోవడం అత్యంత పదునైన అంచు. ఫీల్డ్‌లో టైప్ చేసిన కోడ్‌ను మరొకరి ఫీల్డ్‌లో, నిజ సమయంలో, అందుకు ఒప్పించబడిన వ్యక్తి ద్వారా టైప్ చేయవచ్చు. విండో చిన్నది, ఇది ఉపయోగకరమైన ప్రయత్నాల సంఖ్యను తగ్గిస్తుంది కానీ సాంకేతికతను మూసివేయదు. మీ అవసరంలో దాన్ని నిరోధించడం ఉంటే, జనరేటర్ ఎక్కడ నడిచినా OTP తప్పు ప్రాథమికం.
ఏక-కారకం వర్సెస్ బహు-కారకం రెండవ భేదం. యాక్టివేషన్ దశ లేకుండా కనిపించే కోడ్ ఫైల్ స్వామ్యాన్ని నిరూపిస్తుంది, అంతే, ఫైల్ దాన్ని చదవగల ఖాతా అంతే బలంగా ఉంటుంది. యాక్టివేషన్ కారకాన్ని జోడిస్తే క్లెయిమ్ మెరుగుపడుతుంది, అయినా అది లాగిన్‌లో అందించిన రుజువును వివరిస్తుంది, దాన్ని ఉత్పత్తి చేసే యంత్రం వేరుచేయడాన్ని కాదు.
రాజీకి గురైన ల్యాప్‌టాప్ ఎక్కడి వరకు చేరగలదో చూడండి
వర్క్‌స్టేషన్‌లో కోడ్ అమలు సామర్థ్యం ఉన్న దాడిదారుడు మీరు టైప్ చేస్తున్న ఫీల్డ్ చదవడానికే పరిమితం కాదు. విజయవంతమైన లాగిన్ తర్వాత ఏర్పడే సెషన్ సాధారణంగా టోకెన్ లేదా కుకీ, టోకెన్‌ను ఎలాంటి కోడ్ లేకుండా మరో యంత్రం నుండి ఉపయోగించవచ్చు. మీరు రక్షించుకుంటున్న సామర్థ్యం అదే అయితే, లాగిన్‌లో రెండవ అభ్యర్థన జోడించడం దాడిలోని దశల సంఖ్యను మారుస్తుంది, ఫలితాన్ని కాదు.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
మూడవ నిలువు వరుసను నిజాయితీగా చదవండి. పైన ఉన్న ప్రతి ఏర్పాటు వర్క్‌స్టేషన్ విశ్వాస సరిహద్దు లోపల ఏదో వదిలివేస్తుంది, ఎందుకంటే సెషన్ అక్కడే ఉపయోగించబడుతుంది. మారేది ఏమిటంటే దీర్ఘకాలిక రహస్యం ఆ సరిహద్దుతో ప్రయాణిస్తుందా లేక బయట ఉంటుందా, మరియు రుజువు నిర్దిష్ట మూలానికి కట్టుబడి ఉందా అనేది, తద్వారా నకిలీ పేజీ దాన్ని ముందుకు పంపలేదు.
మరో రెండు చిన్న వివరాలు అదే చిత్రంలో భాగం. కోడ్ తన ఆమోద విండో అంతా చెల్లుబాటు అవుతుంది, తరచుగా ముప్పై సెకన్లు ప్లస్ గడియార వ్యత్యాసానికి సహనం, కాబట్టి పట్టుబడిన విలువను ఆ విండోలో తిరిగి ప్లే చేయవచ్చు, ధృవీకర్త పునర్వినియోగాన్ని తిరస్కరిస్తే తప్ప. కొత్త జనరేటర్‌ను ఇన్‌స్టాల్ చేయడం ఇప్పటికే ధృవీకరించబడిన సెషన్‌లను ముగించదు, కాబట్టి పాత సెషన్ సంఘటనను నియంత్రించాల్సిన ఆధార మార్పు కంటే ఎక్కువ కాలం జీవిస్తుంది.
వేరుచేయడం సహాయపడే చోటికి మాత్రమే జనరేటర్‌ను తరలించండి
కోడ్ జనరేటర్‌ను ఫోన్‌లో ఉంచడం ఒక నిర్దిష్ట వైఫల్యానికి నిజమైన మెరుగుదల: దొంగిలించబడిన ల్యాప్‌టాప్ ఇకపై రెండు రుజువులను మోయదు. కానీ ల్యాప్‌టాప్‌లో సెషన్ అపహరణకు ఏమీ చేయదు, ఫిషింగ్ పేజీలో కోడ్ టైప్ చేసే వినియోగదారుకు ఏమీ చేయదు, ఒకసారి ముద్రించి నోట్స్ యాప్‌లో ఫోటో తీసిన రికవరీ కోడ్‌లకూ ఏమీ చేయదు.
కాబట్టి సాధనాన్ని ఎంచుకునే ముందు అవసరాన్ని రాయండి. లక్ష్యం లీక్ అయిన పాస్‌వర్డ్‌కు వ్యతిరేకంగా అదనపు రుజువు అయితే, దాన్ని స్పష్టంగా చెప్పండి, అదే పరికరంలోని యాప్ దాన్ని ఇప్పటికే అందిస్తుంది. లక్ష్యం VPN వర్క్‌స్టేషన్ రాజీకి వ్యతిరేకంగా స్థితిస్థాపకత అయితే, ఆ దాడిదారు సామర్థ్యాన్ని పేర్కొని దానికి మూల్యాంకనం చేసిన ఏర్పాటును ఎంచుకోండి, ఫిషింగ్ అవసరాన్ని ఊహించకుండా విడిగా పేర్కొనండి.
తర్వాత కార్యాచరణ సగాన్ని నిర్వహించండి, ఇవి ఏదైనా సంఘటనతో సంబంధం ద్వారా నిలిచి ఉంటుందా అని అది నిర్ణయిస్తుంది. పరికరం కోల్పోవడానికి పత్రబద్ధమైన భర్తీ మార్గం కావాలి, ఆధారాల భ్రమణానికి క్రియాశీల సెషన్‌లను రద్దు చేయాలి, నమోదు పదార్థానికి విత్తనం అంతే రక్షణ కావాలి, ఎందుకంటే రక్షించబడని నమోదు కాపీ దాడిదారుడికి అదే భవిష్యత్ కోడ్‌లను చిన్న మార్గంలో ఇస్తుంది. ఈ నాలుగు అంశాలను లెక్కించడం అదే పరికరంలోని టోకెన్‌లు మంచివా లేక పనికిరానివా అనే వాదన కంటే ఉపయోగకరం.