TOTP บนแล็ปท็อปเครื่องเดียวกันเป็นปัจจัยที่สองจริงหรือ
ตัวสร้างรหัสบนแล็ปท็อป VPN เป็นปัจจัยด้านการครอบครองที่อยู่ภายในขอบเขตการถูกบุกรุกเดียวกัน ติดตามเมล็ดและเซสชันก่อน
ลงชื่อเข้าใช้ไคลเอนต์ VPN ที่ขอรหัสผ่านก่อนแล้วจึงขอรหัสหกหลัก และข้อความสองครั้งดูเหมือนอุปสรรคสองอย่างที่เป็นอิสระต่อกัน เมื่อนับตามประเภทของปัจจัยก็เป็นเช่นนั้น รหัสผ่านคือสิ่งที่คุณรู้ รหัสคือสิ่งที่คุณมี เมื่อนับตามสิ่งที่แล็ปท็อปที่ถูกบุกรุกหนึ่งเครื่องเปิดเผย ทั้งสองอาจหลอมรวมเป็นขอบเขตเดียว เพราะสิ่งที่คุณมีคือไฟล์บนเครื่องที่คุณกำลังพิมพ์อยู่ ช่องว่างระหว่างการนับทั้งสองแบบคือหัวข้อของการทบทวนนี้
ติดตามการลงชื่อเข้าใช้หนึ่งครั้งจากช่องรหัสผ่านไปยังช่องรหัส
ดูที่ลำดับ ไม่ใช่ที่ป้ายกำกับ ไคลเอนต์ส่งรหัสผ่าน เซิร์ฟเวอร์ตอบว่าต้องการหลักฐานที่สอง และไคลเอนต์เปิดช่องสำหรับตัวเลขหกหรือแปดหลัก เบื้องหลังช่องนั้นมีแอปพลิเคชันตัวสร้างที่ถือความลับที่ใช้ร่วมกันและนาฬิกา มันคำนวณค่าจากความลับและขั้นเวลาปัจจุบัน และเซิร์ฟเวอร์คำนวณค่าเดียวกันใหม่จากสำเนาความลับของตน
ทั้งสองฝ่ายถือวัสดุกุญแจเดียวกัน ความสมมาตรนี้คือส่วนที่ผู้คนมองข้ามเมื่ออธิบายรหัสว่าเป็นความลับ ผู้ให้บริการสร้างรหัสของคุณได้เช่นกัน นั่นคือเหตุผลที่เมล็ดมีค่ามากกว่าผลลัพธ์ใด ๆ เพียงครั้งเดียว รหัสที่รั่วไหลเป็นค่าที่ใช้ได้ครั้งเดียว ส่วนเมล็ดที่สร้างมันขึ้นมาคือข้อมูลรับรองถาวรที่ยังคงสร้างค่าที่ใช้ได้จนกว่าจะถูกเปลี่ยน
การเปิดใช้งานคืออีกครึ่งหนึ่งของกระบวนการ ตัวสร้างที่ปลดล็อกด้วยรหัสของอุปกรณ์ การขอไบโอเมตริก หรือคอนเทนเนอร์ที่เข้ารหัส นำเสนอหลักฐานการครอบครองบวกกับสิ่งอื่น ตัวที่ทำงานโดยไม่เข้ารหัสและปลดล็อกด้วยเซสชันของระบบปฏิบัติการนำเสนอเพียงไฟล์ แอปพลิเคชันเดียวกันสามารถเสนอการจัดวางทั้งสองแบบได้ขึ้นอยู่กับวิธีลงทะเบียน ดังนั้นการตัดสินใจปรับใช้จึงอยู่ที่ขั้นตอนนั้น ไม่ใช่ที่หน้าการตลาดของแอป
ตัดสินว่ารหัสพิสูจน์อะไรจริง ๆ
ภาษาของมาตรฐานชัดเจนเป็นพิเศษที่นี่ และคุ้มค่าที่จะอ่านโดยตรง คำแนะนำของ NIST เกี่ยวกับตัวตรวจสอบสิทธิ์ระบุตัวสร้าง OTP ที่ใช้ซอฟต์แวร์เป็นตัวตรวจสอบสิทธิ์ แยก OTP แบบปัจจัยเดียวออกจาก OTP แบบหลายปัจจัยที่มีปัจจัยการเปิดใช้งาน และระบุว่าการตรวจสอบสิทธิ์ด้วย OTP ไม่ทนต่อฟิชชิง แต่ละข้อในสามข้อนี้เปลี่ยนสิ่งที่คุณอ้างได้เกี่ยวกับคำขอนั้น
การไม่ทนต่อฟิชชิงคือขอบที่คมที่สุด รหัสที่พิมพ์ในช่องหนึ่งสามารถถูกพิมพ์ในช่องของคนอื่นได้ในเวลาจริง โดยคนที่ถูกโน้มน้าวให้ทำเช่นนั้น หน้าต่างนั้นสั้น ซึ่งลดจำนวนความพยายามที่มีประโยชน์แต่ไม่ได้ปิดเทคนิค หากข้อกำหนดของคุณรวมถึงการต้านทานสิ่งนั้น OTP คือพื้นฐานที่ไม่ถูกต้อง ไม่ว่าตัวสร้างจะทำงานที่ใด
ปัจจัยเดียวเทียบกับหลายปัจจัยคือความแตกต่างที่สอง รหัสที่ปรากฏโดยไม่มีขั้นตอนการเปิดใช้งานพิสูจน์การครอบครองไฟล์และไม่มีอะไรอื่น และไฟล์ก็แข็งแรงเท่ากับบัญชีที่อ่านมันได้ เพิ่มปัจจัยการเปิดใช้งานแล้วข้ออ้างดีขึ้น แม้ยังคงอธิบายหลักฐานที่นำเสนอตอนลงชื่อเข้าใช้ ไม่ใช่การแยกเครื่องที่สร้างมัน
ดูว่าแล็ปท็อปที่ถูกบุกรุกเข้าถึงอะไรได้บ้าง
ผู้โจมตีที่มีความสามารถเรียกใช้โค้ดบนเวิร์กสเตชันไม่จำกัดอยู่ที่การอ่านช่องที่คุณกำลังพิมพ์ เซสชันที่ตั้งขึ้นหลังการลงชื่อเข้าใช้สำเร็จมักเป็นโทเค็นหรือคุกกี้ และโทเค็นสามารถใช้จากเครื่องอื่นได้โดยไม่ต้องใช้รหัสใด ๆ หากนั่นคือความสามารถที่คุณป้องกันอยู่ การเพิ่มข้อความที่สองตอนลงชื่อเข้าใช้เปลี่ยนจำนวนขั้นตอนในการโจมตี ไม่ใช่ผลลัพธ์
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
อ่านคอลัมน์ที่สามเป็นคอลัมน์ที่ซื่อสัตย์ การจัดวางทุกแบบข้างต้นทิ้งบางสิ่งไว้ภายในขอบเขตความไว้วางใจของเวิร์กสเตชัน เพราะเซสชันถูกใช้ที่นั่น สิ่งที่เปลี่ยนคือความลับระยะยาวเดินทางไปกับขอบเขตนั้นหรืออยู่ข้างนอก และหลักฐานผูกกับต้นกำเนิดเฉพาะหรือไม่ เพื่อให้หน้าที่เลียนแบบไม่สามารถส่งต่อได้
รายละเอียดเล็ก ๆ สองอย่างอยู่ในภาพเดียวกัน รหัสยังใช้ได้ตลอดหน้าต่างการยอมรับ ซึ่งมักเป็นสามสิบวินาทีบวกกับความคลาดเคลื่อนของนาฬิกาที่ผ่อนผันดังนั้นค่าที่ดักได้สามารถเล่นซ้ำภายในหน้าต่างนั้น เว้นแต่ตัวตรวจสอบจะปฏิเสธการใช้ซ้ำ และการติดตั้งตัวสร้างใหม่ไม่ได้ยุติเซสชันที่ตรวจสอบสิทธิ์แล้ว ดังนั้นเซสชันเก่าจึงมีอายุยืนกว่าการเปลี่ยนข้อมูลรับรองที่ควรจะจำกัดเหตุการณ์
ย้ายตัวสร้างไปเฉพาะที่การแยกกันช่วยได้
การวางตัวสร้างรหัสไว้บนโทรศัพท์เป็นการปรับปรุงจริงสำหรับความล้มเหลวหนึ่งอย่าง แล็ปท็อปที่ถูกขโมยไม่พกหลักฐานทั้งสองอีกต่อไป แต่มันไม่ได้ทำอะไรกับการชิงเซสชันบนแล็ปท็อป ไม่ได้ทำอะไรกับผู้ใช้ที่พิมพ์รหัสในหน้าฟิชชิง และไม่ได้ทำอะไรกับรหัสกู้คืนที่เคยพิมพ์ครั้งเดียวแล้วถ่ายภาพเก็บไว้ในแอปจดบันทึก
ดังนั้นเขียนข้อกำหนดก่อนเลือกเครื่องมือ หากเป้าหมายคือหลักฐานเพิ่มเติมต่อรหัสผ่านที่รั่วไหล จงพูดให้ชัด และแอปบนอุปกรณ์เดียวกันก็มอบให้แล้ว หากเป้าหมายคือความยืดหยุ่นต่อการถูกบุกรุกของเวิร์กสเตชัน VPN จงระบุความสามารถของผู้โจมตีนั้นและเลือกการจัดวางที่ประเมินไว้สำหรับสิ่งนั้น โดยระบุข้อกำหนดฟิชชิงแยกต่างหากแทนที่จะสันนิษฐาน
จากนั้นจัดการครึ่งปฏิบัติการ ซึ่งตัดสินว่าสิ่งใดในนี้จะอยู่รอดเมื่อเผชิญเหตุการณ์ การสูญหายของอุปกรณ์ต้องมีเส้นทางการแทนที่ที่จัดทำเอกสาร การหมุนเวียนข้อมูลรับรองต้องเพิกถอนเซสชันที่ใช้งานอยู่ และวัสดุการลงทะเบียนต้องได้รับการปกป้องเช่นเดียวกับเมล็ด เพราะสำเนาการลงทะเบียนที่ไม่ได้รับการป้องกันมอบรหัสในอนาคตเดียวกันให้ผู้โจมตีด้วยเส้นทางที่สั้นกว่า การแจกแจงสี่ข้อนี้มีประโยชน์กว่าการโต้เถียงว่าโทเค็นบนอุปกรณ์เดียวกันดีหรือไร้ค่า