రెండు పాస్‌వర్డ్ అభ్యర్థనలు MFA కావు: VPN లాగిన్ ఏమి ధృవీకరిస్తుంది
రెండవ పాస్‌వర్డ్ ఫీల్డ్, బలమైన గుప్తీకరణ మరియు పరికర ధృవపత్రం ఒక్కొక్కటి ఏదో నిరూపిస్తాయి. ఒకే ఖాతాకు కట్టివేయబడిన భిన్న కారకాలే బహుళ-కారకాలుగా లెక్కించబడతాయి.
లాగిన్ పేజీ మొదట పాస్‌వర్డ్‌ను, తర్వాత రెండవ రహస్యాన్ని అడుగుతుంది, మరియు విస్తరణ వెంటనే బహుళ-కారకంగా వర్ణించబడుతుంది. కొన్నిసార్లు అది నిజం. చాలాసార్లు అది ఒకే కారకం రెండుసార్లు సేకరించబడుతుంది, ఎందుకంటే రెండు విలువలూ అదే వ్యక్తి అదే జ్ఞాపకం నుండి లేదా అదే నోట్ నుండి టైప్ చేసిన జ్ఞానమే. బలమైన టన్నెల్ గుప్తీకరణ దాన్ని మార్చదు, ఉత్పత్తి పేరులోని „సురక్షిత“ అనే పదం కూడా మార్చదు.
దావాను యంత్రాంగం నుండి వేరు చేయడానికి ఒకే ప్రశ్న కావాలి: ప్రతి అడుగు ఏమి, ఎవరికి నిరూపిస్తుంది?
కారకం ఒక రుజువు, ఫీల్డ్ కాదు
బహుళ-కారక ప్రామాణీకరణ అంటే అదే ఖాతా కోసం ఒకటి కంటే ఎక్కువ భిన్న రకాల రుజువులు ధృవీకరించబడతాయి: వినియోగదారుకు తెలిసినది, అతని వద్ద ఉన్నది, అతను ఏమిటో అది. రెండూ ఒకే గుర్తుంచుకున్న శ్రేణిని సేకరించే రెండు ఫీల్డ్‌లు రెండుసార్లు అడిగిన ఒకే రకం రుజువు. ఇది ఉపయోగకరమైన నియంత్రణ కావచ్చు, ఎందుకంటే రెండు స్వతంత్ర రహస్యాలను ఊహించడం ఒకటి కంటే కష్టం, కానీ ఇది పదం వివరించేది కాదు మరియు ప్రమాద మూల్యాంకనంలో అలా లెక్కించకూడదు.
ధృవీకరణ వైపు సేకరణ వైపు అంతే ముఖ్యం. పరికరంలో సృష్టించిన కోడ్ ఆ పరికరంపై నియంత్రణను ఈ ఖాతాకు కట్టివేసిన రహస్యంతో సర్వర్ పరిశీలించి పునరావృత్తులను తిరస్కరిస్తేనే నిరూపిస్తుంది. అందరికీ పనిచేసే భాగస్వామ్య కోడ్, పరిమితి లేని కోడ్, లేదా ఏమి ఆమోదించబడుతుందో ఎప్పుడూ చూపించని పరికరంలో ఆమోదించిన అభ్యర్థన — ఇవన్నీ లేబుల్ సూచించినదానికంటే బలహీనం.
కాబట్టి ఎవరైనా VPNలో MFA ఉందా అని అడిగితే, రెండవ అడుగు ఏమి నిరూపిస్తుంది మరియు సర్వర్ దాన్ని ఎలా కట్టివేస్తుంది అని అడగండి. సమాధానం „అదే డైరెక్టరీ నుండి రెండవ పాస్‌వర్డ్“ అయితే, మీకు ఒక కారకం మరియు విధానంపై సంభాషణ ఉన్నాయి, రెండవ కారకం లేదు.
ధృవపత్రం విషయాన్ని చదవాలి, ఊహించకూడదు
క్లయింట్ ధృవపత్రంతో పాటు పాస్‌వర్డ్ రెండు కారకాలుగా కనిపిస్తుంది, అలా ఉండవచ్చు కూడా: ధృవపత్రం నిల్వలో లేదా టోకెన్‌పై ఉంచబడుతుంది, పాస్‌వర్డ్ గుర్తుంచుకోబడుతుంది. ఇది ఒక్కటే కూడా కావచ్చు, ధృవపత్ర ఫైల్ సేవ్ చేసిన పాస్‌వర్డ్‌తో అదే ప్రొఫైల్ డైరెక్టరీలో రక్షణ లేకుండా ఉంటే, లేదా అనేక మంది వ్యక్తిగత జవాబుదారీతనం లేకుండా పంచుకునే పరికరానికి ధృవపత్రం జారీ చేయబడితే.
పరిష్కరించాల్సిన ప్రశ్న ఏమిటంటే ధృవపత్రం ఎవరిని లేదా ఏమి గుర్తిస్తుంది. పరికర ధృవపత్రం నిర్వహిత యంత్రం ఉన్నట్లు నిరూపిస్తుంది. వినియోగదారు ధృవపత్రం గుర్తింపును నిరూపిస్తుంది. విస్తరణ ప్రతి ల్యాప్‌టాప్‌కు ఒక ధృవపత్రం జారీ చేసి, తర్వాత దాని ఉనికిని వ్యక్తికి రుజువుగా పరిగణిస్తే, రెండవ కారకం ల్యాప్‌టాప్ పట్టుకున్న ప్రతిఒక్కరూ వారసత్వంగా పొందే హార్డ్‌వేర్ లక్షణంగా నిశ్శబ్దంగా మారిపోయింది.
వీటిలో ఏదీ ధృవపత్రాలను చెడు ఆలోచనగా చేయదు. పరికర హామీ మరియు వినియోగదారు హామీ మధ్య భేదాన్ని రాయదగినదిగా చేస్తుంది, ఎందుకంటే రెండూ వేర్వేరు ప్రశ్నలకు సమాధానమిస్తాయి, వాటిని ఒకటిగా లెక్కించే అనుపాలన పత్రం ఏమి రక్షించబడుతుందో అతిగా చెబుతుంది.
గేట్‌వేపై నమ్మకం మరియు వినియోగదారుపై నమ్మకం వేర్వేరు సమస్యలు
మీరు ధృవీకరించని ఎండ్‌పాయింట్‌లో ఆధారాలను టైప్ చేయడాన్ని రెండవ కారకం సురక్షితం చేయదు. క్లయింట్ ఉద్దేశించిన గేట్‌వేను గుర్తించాలి, అందుకే సర్వర్ ధృవపత్రం మరియు క్లయింట్ నమ్మక కాన్ఫిగరేషన్ ఉన్నాయి. ఫిషింగ్ లాగిన్‌ను దాడి చేసేవాడు నియంత్రించే సర్వర్‌కు మార్చడం ద్వారా పనిచేస్తుంది, అక్కడ నమోదు చేసిన సరైన ఒక-సారి కోడ్ నిజ సమయంలోనే నిజమైన సేవకు పంపబడుతుంది.
అందుకే పద్ధతి ఎంపిక అభ్యర్థన మాటల కంటే ఫలితాన్ని ఎక్కువ మారుస్తుంది. ఒక వ్యక్తి టైప్ చేసిన కోడ్‌లను నమ్మదగిన పేజీ చూపగల ఎవరైనా పంపవచ్చు, కానీ ప్రామాణీకరణను నిర్దిష్ట మూలం మరియు సెషన్‌కు కట్టివేసే గుప్తలేఖన పద్ధతులు తమ రూపకల్పనతోనే ఆ పంపడాన్ని ఎదిరిస్తాయి. వీటిలో ఏది మీ వద్ద ఉందో అది పద్ధతి లక్షణం, సంభాషణలోని అడుగుల సంఖ్య కాదు.
సరఫరాదారు మద్దతు ఇచ్చే నమోదు మరియు క్లయింట్ ప్రవాహాన్ని అనుసరించండి, పాస్‌వర్డ్ ఫీల్డ్‌పై అదనపు అభ్యర్థనను తిరిగేయడం బదులు. ఇంట్లో తయారు చేసిన రెండవ అడుగు సాధారణంగా మధ్యలో ఎక్కడో దిగుతుంది, కారకాన్ని అర్థవంతం చేసే బంధం లేకుండా ఘర్షణను జోడిస్తుంది.
పునరుద్ధరణ రెండవ ముందు తలుపు
ప్రతి బలమైన లాగిన్‌కు ప్రామాణికుడు పోయినప్పుడు తిరిగి వెళ్లే మార్గం ఉంటుంది, మరియు ఆ మార్గమే సాధారణంగా రూపకల్పనలో బలహీనమైన స్థానం. మద్దతు ఏజెంట్ నమోదిత నంబర్‌కు కాల్ చేసిన తర్వాత రెండవ కారకాన్ని రీసెట్ చేయగలిగితే, దాడి చేసేవాడికి చవకైన మార్గం లాగిన్ పేజీ కాదు, మద్దతు డెస్క్.
భర్తీ ఎలా పనిచేస్తుంది, ఎవరు ఆమోదిస్తారు, ఏ రుజువులు కోరతారు అని అడగండి. తర్వాత బ్యాకప్ కోడ్‌ల వంటి పునరుద్ధరణ సామగ్రి ప్రాథమిక ఆధారం నుండి విడిగా ఉంచబడుతుందో లేదో తనిఖీ చేయండి, ఒక ఉల్లంఘన రెండింటినీ అప్పగించకుండా. NIST డిజిటల్ గుర్తింపు మార్గదర్శకాలు ధృవీకర్త బంధం మరియు ప్రామాణికుని జీవిత చక్రాన్ని అవసరంలో భాగంగా భావిస్తాయి, తర్వాతి కార్యాచరణ ఆలోచనగా కాదు.
మూల్యాంకనంలో ఏమి రాయాలి
కారకాలను రకం ప్రకారం వర్ణించండి, ఒక్కొక్కటి ఏమి నిరూపిస్తుందో పేర్కొనండి మరియు అది ఖాతాకు ఎలా కట్టివేయబడిందో తెలపండి. పద్ధతి పంపడాన్ని ఎదిరిస్తుందో లేదో గమనించండి, పునరుద్ధరణ మార్గాన్ని లాగిన్ అంత జాగ్రత్తగా వర్ణించండి.
తర్వాత ఆ నిర్వచనం ప్రకారం విస్తరణ బహుళ-కారకమా కాదా స్పష్టంగా చెప్పండి. „రెండు పాస్‌వర్డ్‌లు మరియు ఒక యంత్ర ధృవపత్రం“ అనేది నిజాయితీ వాక్యం, అది „అవును“ చెప్పే చెక్‌బాక్స్ కంటే పాఠకుడికి చాలా ఎక్కువ చెబుతుంది.