TOTP ba sa Parehong Laptop ang Tunay na Ikalawang Salik?
Ang generator ng code sa laptop ng VPN ay isang salik ng pagmamay-ari na nasa loob ng parehong hangganan ng kompromiso. Subaybayan muna ang binhi at ang sesyon.
Mag-sign in sa isang VPN client na humihingi muna ng password at pagkatapos ay anim na digit na code, at ang dalawang kahilingan ay mukhang dalawang malayang harang. Kung bibilangin ayon sa uri ng salik, gayon nga: ang password ay isang bagay na alam mo, ang code ay isang bagay na taglay mo. Kung bibilangin ayon sa inilalantad ng isang kompromisadong laptop, maaari silang magsanib sa isang hangganan, dahil ang taglay mo ay isang file sa makina kung saan ka nagta-type. Ang agwat ng dalawang pagbilang na iyon ang paksa ng pagsusuring ito.
Subaybayan ang isang pag-sign in mula sa field ng password hanggang sa kahon ng code
Tingnan ang pagkakasunod-sunod, hindi ang mga label. Ipinapadala ng client ang password, tumutugon ang server na kailangan ang ikalawang patunay, at nagbubukas ang client ng field para sa anim o walong digit. Sa likod ng field na iyon ay may aplikasyong generator na may hawak na pinagsasaluhang lihim at orasan. Kinakalkula nito ang isang halaga mula sa lihim at sa kasalukuyang hakbang ng oras, at muling kinakalkula ng server ang gayunding halaga mula sa kopya nito ng lihim.
Parehong may hawak ang dalawang panig ng parehong materyal ng susi. Ang simetryang iyon ang bahaging napapalampas kapag inilalarawan ang code bilang lihim: makakabuo rin ang tagapagbigay ng iyong mga code, kaya mas mahalaga ang binhi kaysa sa anumang isahang output. Ang code na tumagas ay halagang isang gamitan; ang binhing bumuo nito ay permanenteng kredensyal na patuloy na gumagawa ng mga balidong halaga hanggang sa ito ay palitan.
Ang pag-activate ang kabilang kalahati ng daloy. Ang generator na nagbubukas sa pamamagitan ng passcode ng aparato, biometrikong kahilingan o naka-encrypt na lalagyan ay nagpapakita ng patunay ng pagmamay-ari at ng iba pa. Ang tumatakbo nang walang encryption at nagbubukas sa sesyon ng operating system ay nagpapakita lamang ng file. Ang parehong aplikasyon ay makapag-aalok ng dalawang kaayusan depende sa kung paano ginawa ang pagpapatala, kaya ang pasya sa pag-deploy ay nasa hakbang na iyon, hindi sa marketing page ng app.
Magpasya kung ano talaga ang pinapatunayan ng code
Ang wika ng mga pamantayan ay hindi pangkaraniwang malinaw dito, at sulit basahin nang direkta. Ang gabay ng NIST sa mga authenticator ay naglilista ng mga software-based na OTP generator bilang mga authenticator, naghihiwalay ng single-factor OTP sa multi-factor OTP na may activation factor, at nagsasabing ang pagpapatunay ng OTP ay hindi lumalaban sa phishing. Binabago ng bawat isa sa tatlong probisyong iyon ang maaari mong iginigiit tungkol sa kahilingan.
Ang hindi paglaban sa phishing ang pinakamatalas na gilid. Ang code na nai-type sa isang field ay maaaring i-type sa field ng iba, sa totoong panahon, ng taong napakiusapan na gawin ito. Maikli ang bintana, na nagpapababa sa bilang ng mga kapaki-pakinabang na pagtatangka ngunit hindi nagsasara ng teknik. Kung kasama sa iyong pangangailangan ang paglaban doon, maling batayan ang OTP, saanman tumatakbo ang generator.
Ang isang salik kumpara sa maraming salik ang ikalawang pagkakaiba. Ang code na lumilitaw nang walang hakbang ng pag-activate ay nagpapatunay ng pagmamay-ari ng file at wala nang iba, at ang file ay kasing-lakas lamang ng account na makakabasa nito. Magdagdag ng activation factor at bubuti ang iginigiit, bagaman inilalarawan pa rin nito ang patunay na iniharap sa pag-sign in, hindi ang paghihiwalay ng makinang gumawa nito.
Tingnan kung hanggang saan maaaring marating ng kompromisadong laptop
Ang umaatake na may pagpapatupad ng code sa workstation ay hindi limitado sa pagbasa ng field kung saan ka nagta-type. Ang sesyong itinatag pagkatapos ng matagumpay na pag-sign in ay karaniwang token o cookie, at ang token ay magagamit mula sa ibang makina nang walang anumang code. Kung iyon ang kakayahang ipinagtatanggol mo, ang pagdaragdag ng ikalawang kahilingan sa pag-sign in ay nagbabago ng bilang ng mga hakbang sa pag-atake, hindi ang resulta.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Basahin ang ikatlong hanay bilang ang tapat. Bawat kaayusan sa itaas ay nag-iiwan ng isang bagay sa loob ng hangganan ng tiwala ng workstation, dahil doon ginagamit ang sesyon. Ang nababago ay kung ang pangmatagalang lihim ay naglalakbay kasama ng hangganang iyon o nananatili sa labas nito, at kung ang patunay ay nakatali sa tiyak na pinagmulan upang hindi ito maipadala ng pekeng pahina.
Dalawang mas maliliit na detalye ang kabilang sa parehong larawan. Ang code ay nananatiling balido sa buong bintana ng pagtanggap nito, madalas tatlumpung segundo dagdag ang pagpapahintulot sa paglihis ng orasan, kaya ang nahuling halaga ay maaaring i-play muli sa loob ng bintanang iyon maliban kung tanggihan ng tagapagpatunay ang muling paggamit. At ang pag-install ng bagong generator ay hindi nagtatapos sa mga sesyong na-authenticate na, kaya ang lumang sesyon ay nabubuhay nang mas matagal kaysa sa pagbabago ng kredensyal na dapat sana ay pumigil sa insidente.
Ilipat ang generator lamang kung saan nakakatulong ang paghihiwalay
Ang paglalagay ng generator ng code sa telepono ay tunay na pagbuti para sa isang tiyak na pagkabigo: ang ninakaw na laptop ay hindi na nagdadala ng dalawang patunay. Ngunit wala itong ginagawa laban sa pagdukot ng sesyon sa laptop, wala para sa user na nagta-type ng code sa phishing page, at wala para sa mga recovery code na minsang nakalimbag at nakuhanan ng larawan sa notes app.
Kaya isulat ang pangangailangan bago pumili ng kasangkapan. Kung ang layunin ay karagdagang patunay laban sa tumagas na password, sabihin ito nang malinaw, at ang app sa parehong aparato ay naghahatid na nito. Kung ang layunin ay katatagan laban sa kompromiso ng workstation ng VPN, pangalanan ang kakayahan ng umaatake at pumili ng kaayusang sinuri para doon, na ang pangangailangan sa phishing ay nakasaad nang hiwalay kaysa ipinagpalagay.
Pagkatapos ay hawakan ang kalahating pang-operasyon, na nagpapasya kung may matitira sa mga ito kapag naharap sa isang insidente. Ang pagkawala ng aparato ay nangangailangan ng dokumentadong landas ng pagpapalit, ang pag-ikot ng kredensyal ay nangangailangan ng pagpapawalang-bisa sa mga aktibong sesyon, at ang materyal ng pagpapatala ay nangangailangan ng parehong proteksyon ng binhi, dahil ang walang proteksyong kopya ng pagpapatala ay nagbibigay sa umaatake ng gayunding hinaharap na mga code sa mas maikling landas. Ang pag-enumerate ng apat na aytem ay mas kapaki-pakinabang kaysa sa pagtatalo kung mabuti o walang halaga ang mga token sa parehong aparato.