Mali ang icon ng authenticator? Bakit walang pinapatunayan ang logo
Ang kulang na logo ay walang sinasabi tungkol sa kung sino ang may hawak ng iyong ikalawang salik. I-verify ang enrollment sa pamamagitan ng account, at huwag kailanman i-upload ang QR code para ayusin ang larawan.
Ang mga kulay-abo na parisukat sa dapat lagyan ng logo ng brand ay nakakaalarma, at gayunpaman sila ang maling bagay na dapat aksyunan. Ang larawang iginuhit ng authenticator ay isang detalye ng display na nagmula sa mga label sa entry, samantalang ang tanong sa seguridad ay kung ang lihim sa loob ng entry na iyon ay pag-aari ng iyong account. Ang paghihiwalay ng dalawang ito ang nagtatangi ng kosmetikong pagkukumpuni mula sa insidente ng kredensyal. Pinipigilan din nito ang pagkukumpuning nagpapalala ng sitwasyon.
Ang icon at ang lihim ay sumasagot sa magkaibang tanong
Ang entry ng authenticator ay nabubuo mula sa isang key URI na nagdadala ng pinagsamang lihim kasama ang label ng account at pangalan ng issuer. Iginuguhit ng app ang logo mula sa issuer na nakikilala nito, at ang hindi kilalang o binagong issuer ay gumagawa lamang ng pangkalahatang larawan. Walang anumang bagay sa display na iyon ang nagsasabi sa iyo kung sino pa ang may kopya ng lihim, at walang anumang bagay sa tamang logo ang nagsasabi na ang entry ay sa iyo lamang. Basahin ang display bilang pahiwatig tungkol sa label, hindi bilang pahayag tungkol sa pangangalaga.
Totoo rin ang kabaligtaran, at iyon ang mas mapanganib na direksyon. Ang kapani-paniwalang logo ay nagpapatunay ng mas kaunti pa kaysa sa kulang.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Huwag kailanman muling mag-enroll para ayusin ang larawan
Ang pagkukumpuning umiikot online ay muling pagbuo ng QR code, na nangangahulugang i-export ang lihim at ipadaan ito sa ibang tool. Ginagawa nitong pagsisiwalat ang isang problema sa display, dahil ang export ay naglalaman ng eksaktong materyal na kailangan ng umaatake para makabuo ng valid na mga code. Ang pag-upload nito sa isang web generator ay nagbibigay ng ikalawang salik sa ibang partido kapalit ng mas magandang icon.
Kung ang account ay nagpapatunay pa rin ng mga code, buo ang enrollment at kosmetiko ang display. Tingnan ang dokumentasyon ng authenticator mismo tungkol sa mga label ng issuer at paghahanap ng icon, at hayaang mapayapa ang entry. Ang pag-edit ng label para pilitin ang logo ay pagbabago sa entry dahil sa dahilang walang kaugnayan sa authentication.
Itago ang orihinal na larawan ng QR, ang hilaw na key URI at anumang manu-manong lihim mula sa mga ticket, thread ng chat, screenshot at pampublikong tracker ng isyu. Ang screenshot ng pahina ng setup ay kadalasang naglalaman ng higit pa sa intensyon ng kumuha nito.
Nang tunay na nailahad ang lihim
Ituring ang pagsisiwalat bilang hiwalay na insidente na may sariling tugon. Gamitin ang sinusuportahang proseso ng pagpapalit ng serbisyo para mag-enroll ng bagong authenticator, tiyakin na ang bagong entry ay gumagawa ng tinatanggap na mga code, at alisin ang lumang enrollment sa server. Ang pagbura ng entry nang lokal ay hindi nag-aalis ng rehistro sa panig ng server, kaya ang nailahad na lihim ay maaaring patuloy na gumana hanggang sa maipaalam sa serbisyo ang kabaligtaran. Nasa agwat na ito sa pagitan ng lokal na pagbura at ng estado ng server ang malaking bahagi ng panganib.
Mahalaga ang pagkakasunod-sunod dito. I-enroll muna ang kapalit, i-verify ito, at pagkatapos lamang alisin ang luma, dahil kokulong ang karamihan ng serbisyo kung mawawala ang huling salik. Kasama rin sa pagkakasunod-sunod na iyon ang mga recovery code, dahil sila ang reserbang daan kapag hindi magagamit ang telepono.
Tingnan kung ang parehong lihim ay ginamit sa ibang lugar. Ang key URI na naipasok sa isang generator ay lumabas na sa iyong kontrol, at ang account sa likod nito ay dapat ituring na pinagsasaluhan hanggang mapalitan ang rehistro.
Dapat ilarawan ng mga kahilingan sa suporta ang biswal na problema nang walang kasamang code o materyal ng setup. Ang lahat ng partikular sa account ay kabilang sa verified na channel ng provider, hindi sa pampublikong thread.
Magtabi ng daan ng pagbawi bago magbura
Bago alisin ang anumang gumaganang entry, tiyakin na may aprubadong daan ng pagbawi at magagamit mo ito. Ang kosmetikong pagkukumpuning nagtatapos sa pagkaka-lock out ay mas masamang resulta kaysa sa maling logo, at karaniwan ang lockout kapag ang tanging naka-enroll na device ay ang siyang ine-edit.
Makitid ang kondisyon ng pagtanggap: isang verified na ugnayan sa pagitan ng account at authenticator, habang pribadong itinatago ang materyal ng enrollment. Ang pamilyar na badge ay hindi bahagi ng kondisyong iyon, at ang kawalan nito ay hindi ebidensiya ng pagkompromiso.
Ang mismong format ng key URI ay nakadokumento sa espesipikasyon ng key URI ng Google Authenticator, na nagpapaalala rin na ang payload ay naglalaman ng lihim at hindi logo. Basahin ito bago mag-export ng anuman mula sa entry na hindi mo kayang mawala.