การถามรหัสผ่านสองครั้งไม่ใช่ MFA: การเข้าสู่ระบบ VPN ตรวจสอบอะไร

หน้าเข้าสู่ระบบขอรหัสผ่าน แล้วขอความลับที่สอง และการติดตั้งก็ถูกอธิบายทันทีว่าเป็นหลายปัจจัย บางครั้งก็เป็นเช่นนั้นจริง บ่อยครั้งมันคือปัจจัยเดียวที่เก็บสองครั้ง เพราะค่าทั้งสองเป็นความรู้ที่คนเดียวกันพิมพ์จากความจำเดียวกันหรือโน้ตเดียวกัน การเข้ารหัสอุโมงค์ที่แข็งแรงไม่เปลี่ยนสิ่งนี้ และคำว่า «ปลอดภัย» ในชื่อผลิตภัณฑ์ก็ไม่เปลี่ยนเช่นกัน

การแยกข้ออ้างออกจากกลไกต้องใช้คำถามเดียว: แต่ละขั้นพิสูจน์อะไร และกับใคร

ปัจจัยคือหลักฐาน ไม่ใช่ช่องกรอก

การพิสูจน์ตัวตนหลายปัจจัยหมายความว่ามีการตรวจสอบหลักฐานมากกว่าหนึ่งชนิดที่แตกต่างกันสำหรับบัญชีเดียวกัน คือสิ่งที่ผู้ใช้รู้ สิ่งที่ผู้ใช้มี และสิ่งที่ผู้ใช้เป็น สองช่องที่เก็บสตริงที่จดจำได้ทั้งคู่คือหลักฐานชนิดเดียวที่ถูกขอสองครั้ง นี่อาจเป็นการควบคุมที่มีประโยชน์ เพราะความลับสองอย่างที่เป็นอิสระต่อกันนั้นเดายากกว่าหนึ่งอย่าง แต่ไม่ใช่สิ่งที่คำนี้บรรยาย และไม่ควรนับเช่นนั้นในการประเมินความเสี่ยง

ด้านการตรวจสอบสำคัญพอ ๆ กับด้านการเก็บรวบรวม รหัสที่สร้างบนอุปกรณ์พิสูจน์การควบคุมอุปกรณ์นั้นก็ต่อเมื่อเซิร์ฟเวอร์ตรวจสอบกับความลับที่ผูกกับบัญชีนี้และปฏิเสธการเล่นซ้ำ รหัสร่วมที่ใช้ได้กับทุกคน รหัสที่ไม่จำกัดจำนวนครั้ง หรือคำขอที่อนุมัติบนอุปกรณ์ที่ไม่เคยแสดงว่าอนุมัติสิ่งใด ล้วนอ่อนแอกว่าที่ป้ายบอก

ดังนั้นเมื่อมีคนถามว่า VPN มี MFA หรือไม่ ให้ถามว่าขั้นที่สองพิสูจน์อะไรและเซิร์ฟเวอร์ผูกมันอย่างไร หากคำตอบคือ «รหัสผ่านที่สองจากไดเรกทอรีเดียวกัน» คุณมีปัจจัยเดียวและบทสนทนาเรื่องนโยบาย ไม่ใช่ปัจจัยที่สอง

กรณีใบรับรองต้องอ่าน ไม่ใช่สันนิษฐาน

ใบรับรองไคลเอนต์บวกรหัสผ่านดูเหมือนสองปัจจัย และอาจเป็นเช่นนั้นได้ คือใบรับรองถูกเก็บในที่เก็บหรือบนโทเคน และรหัสผ่านถูกจดจำ ก็อาจเป็นปัจจัยเดียวได้เช่นกัน หากไฟล์ใบรับรองอยู่ในไดเรกทอรีโปรไฟล์เดียวกับรหัสผ่านที่บันทึกไว้โดยไม่มีการป้องกัน หรือหากใบรับรองออกให้อุปกรณ์ที่หลายคนใช้ร่วมกันโดยไม่มีความรับผิดชอบรายบุคคล

คำถามที่ต้องชี้ขาดคือใบรับรองระบุตัวใครหรือสิ่งใด ใบรับรองอุปกรณ์พิสูจน์ว่ามีเครื่องที่ถูกจัดการอยู่ ใบรับรองผู้ใช้พิสูจน์ตัวตน หากการติดตั้งออกใบรับรองหนึ่งใบต่อแล็ปท็อปหนึ่งเครื่อง แล้วถือว่าการมีอยู่ของมันเป็นหลักฐานของบุคคล ปัจจัยที่สองก็กลายเป็นคุณสมบัติของฮาร์ดแวร์ที่ใครก็ตามที่ถือแล็ปท็อปนั้นสืบทอดไปอย่างเงียบ ๆ

ไม่มีข้อใดทำให้ใบรับรองเป็นความคิดที่แย่ มันทำให้ความแตกต่างระหว่างการรับประกันอุปกรณ์และการรับประกันผู้ใช้ควรค่าแก่การเขียนไว้ เพราะทั้งสองตอบคำถามต่างกัน และสเปรดชีตการปฏิบัติตามข้อกำหนดที่นับทั้งสองเป็นหนึ่งจะประเมินสิ่งที่ได้รับการป้องกันสูงเกินจริง

ความไว้วางใจในเกตเวย์และความไว้วางใจในผู้ใช้เป็นปัญหาที่แยกจากกัน

ปัจจัยที่สองไม่ได้ทำให้การพิมพ์ข้อมูลรับรองลงในปลายทางที่คุณยังไม่ได้ตรวจสอบปลอดภัย ไคลเอนต์ต้องจดจำเกตเวย์ที่ตั้งใจไว้ ซึ่งเป็นหน้าที่ของใบรับรองเซิร์ฟเวอร์และการตั้งค่าความไว้วางใจของไคลเอนต์ การฟิชชิงทำงานโดยย้ายการเข้าสู่ระบบไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม และรหัสใช้ครั้งเดียวที่ถูกต้องซึ่งกรอกที่นั่นก็เพียงถูกส่งต่อไปยังบริการจริงแบบเรียลไทม์

นั่นคือเหตุผลที่การเลือกวิธีเปลี่ยนผลลัพธ์มากกว่าถ้อยคำของคำขอ รหัสที่คนพิมพ์สามารถถูกส่งต่อได้โดยใครก็ตามที่แสดงหน้าที่น่าเชื่อถือได้ ในขณะที่วิธีเชิงรหัสลับที่ผูกการพิสูจน์ตัวตนกับต้นทางและเซสชันที่เจาะจงต้านทานการส่งต่อนั้นโดยการออกแบบ จะเป็นแบบไหนนั้นเป็นคุณสมบัติของวิธี ไม่ใช่จำนวนขั้นในกล่องโต้ตอบ

ทำตามขั้นตอนการลงทะเบียนและการไหลของไคลเอนต์ที่ผู้จำหน่ายรองรับ แทนการขันคำขอเพิ่มเติมเข้ากับช่องรหัสผ่าน ขั้นที่สองที่ทำเองมักลงเอยตรงกลาง ๆ เพิ่มความฝืดโดยไม่มีการผูกที่ทำให้ปัจจัยมีความหมาย

การกู้คืนคือประตูหน้าบานที่สอง

ทุกการเข้าสู่ระบบที่แข็งแรงมีทางกลับเมื่อตัวพิสูจน์ตัวตนหายไป และเส้นทางนั้นมักเป็นจุดที่อ่อนแอที่สุดของการออกแบบ หากเจ้าหน้าที่สนับสนุนสามารถรีเซ็ตปัจจัยที่สองได้หลังโทรศัพท์ไปยังหมายเลขที่บันทึกไว้ เส้นทางที่ถูกที่สุดของผู้โจมตีคือโต๊ะช่วยเหลือ ไม่ใช่หน้าเข้าสู่ระบบ

ถามว่าการแทนที่ทำงานอย่างไร ใครอนุมัติ และต้องใช้หลักฐานอะไร จากนั้นตรวจสอบว่าสื่อการกู้คืนเช่นรหัสสำรองถูกเก็บแยกจากข้อมูลรับรองหลัก เพื่อการรั่วไหลครั้งเดียวจะไม่ส่งมอบทั้งสองอย่าง แนวทางของ NIST เกี่ยวกับอัตลักษณ์ดิจิทัล ถือว่าการผูกตัวตรวจสอบและวงจรชีวิตของตัวพิสูจน์ตัวตนเป็นส่วนหนึ่งของข้อกำหนด ไม่ใช่ความคิดเชิงปฏิบัติที่ตามมาทีหลัง

จะเขียนอะไรในการประเมิน

อธิบายปัจจัยตามชนิด ระบุว่าแต่ละอย่างพิสูจน์อะไร และระบุว่ามันผูกกับบัญชีอย่างไร บันทึกว่าวิธีต้านทานการส่งต่อหรือไม่ และอธิบายเส้นทางการกู้คืนด้วยความระมัดระวังเช่นเดียวกับการเข้าสู่ระบบ

จากนั้นพูดให้ชัดว่าการติดตั้งเป็นหลายปัจจัยตามคำจำกัดความนั้นหรือไม่ «รหัสผ่านสองรหัสและใบรับรองเครื่องหนึ่งใบ» เป็นประโยคที่ซื่อสัตย์ และบอกผู้อ่านได้มากกว่าช่องทำเครื่องหมายที่ตอบว่าใช่