Yanlış doğrulayıcı simgesi? Logo neden hiçbir şey kanıtlamaz
Eksik bir logo, ikinci faktörünüzün kimde olduğu hakkında hiçbir şey söylemez. Kaydı hesap üzerinden doğrulayın ve bir görseli düzeltmek için QR kodunu asla yüklemeyin.
Marka logosunun olması gereken yerde gri kareler endişe verici görünür, yine de üzerinde işlem yapılacak yanlış şey onlardır. Doğrulayıcının çizdiği görsel, girişteki etiketlerden türetilen bir görüntüleme ayrıntısıdır; güvenlik sorusu ise o girişteki sırrın hesabınıza ait olup olmadığıdır. Bu ikisini ayrı tutmak, kozmetik bir onarımı bir kimlik bilgisi olayından ayıran şeydir. Ayrıca işleri kötüleştiren onarımı da durdurur.
Simge ve sır farklı soruları yanıtlar
Doğrulayıcı girişi, paylaşılan bir sırrı hesap etiketi ve veren adıyla birlikte taşıyan bir anahtar URI'sinden oluşturulur. Uygulama tanıdığı verenden bir logo çizer; bilinmeyen veya değiştirilmiş bir veren ise yalnızca genel bir görsel üretir. O görüntülemede hiçbir şey sırrın bir kopyasının kimde olduğunu söylemez ve doğru bir logoda hiçbir şey girişin yalnızca size ait olduğunu söylemez. Görüntülemeyi bir etiket hakkında ipucu olarak okuyun, saklama hakkında bir beyan olarak değil.
Bunun tersi de doğrudur ve asıl tehlikeli yön odur. İkna edici bir logo, eksik olandan daha da az şey kanıtlar.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Bir görseli düzeltmek için asla yeniden kaydolmayın
İnternette dolaşan onarım, QR kodunu yeniden oluşturmaktır; bu da sırrı dışa aktarıp başka bir araçtan geçirmek anlamına gelir. Bu, bir görüntüleme sorununu ifşaya dönüştürür, çünkü dışa aktarılan dosya bir saldırganın geçerli kodlar üretmek için ihtiyaç duyduğu malzemenin tam kendisini içerir. Bunu bir web oluşturucuya yüklemek, daha güzel bir simge karşılığında ikinci faktörü üçüncü bir tarafa teslim eder.
Hesap kodları hâlâ doğruluyorsa kayıt sağlamdır ve görüntüleme kozmetiktir. Veren etiketleri ve simge araması konusunda doğrulayıcının kendi belgelerine bakın ve girişi olduğu gibi bırakın. Bir logoyu zorlamak için etiketi düzenlemek, kimlik doğrulamayla hiçbir ilgisi olmayan bir nedenle girişte değişiklik yapmaktır.
Orijinal QR görselini, ham anahtar URI'sini ve elle girilen herhangi bir sırrı biletlerden, sohbet dizilerinden, ekran görüntülerinden ve herkese açık sorun izleyicilerinden uzak tutun. Bir kurulum sayfasının ekran görüntüsü çoğu zaman onu çeken kişinin amaçladığından fazlasını içerir.
Sır gerçekten ifşa edildiğinde
İfşayı kendi yanıtı olan ayrı bir olay olarak ele alın. Hizmetin desteklediği değiştirme sürecini kullanarak yeni bir doğrulayıcı kaydedin, yeni girişin kabul edilen kodlar ürettiğini doğrulayın ve sunucudaki eski kaydı kaldırın. Girişi yerel olarak silmek sunucu tarafındaki kaydı kaldırmaz, bu nedenle ifşa edilen sır hizmete aksi bildirilene kadar çalışmaya devam edebilir. Riskin büyük kısmı yerel silme ile sunucu durumu arasındaki bu boşluktadır.
Burada sıra önemlidir. Önce yerine koyacağınızı kaydedin, doğrulayın ve ancak ondan sonra eskisini kaldırın, çünkü son faktör kaybolursa çoğu hizmet sizi kilitler. Kurtarma kodları da bu sıraya dahildir, çünkü telefon kullanılamadığında yedek yol onlardır.
Aynı sırrın başka bir yerde kullanılıp kullanılmadığını kontrol edin. Bir oluşturucuya yapıştırılan anahtar URI'si denetiminizden çıkmıştır ve arkasındaki hesap, kayıt değiştirilene kadar paylaşılmış sayılmalıdır.
Destek talepleri görsel sorunu kod veya kurulum malzemesi eklemeden tanımlamalıdır. Hesaba özgü her şey sağlayıcının doğrulanmış kanalına aittir, herkese açık bir diziye değil.
Silmeden önce bir kurtarma yolu bulundurun
Çalışan herhangi bir girişi kaldırmadan önce onaylanmış bir kurtarma yolunun var olduğunu ve onu kullanabildiğinizi doğrulayın. Kilitlenmeyle sonuçlanan kozmetik bir onarım, yanlış logodan daha kötü bir sonuçtur ve kayıtlı tek cihaz düzenlenen cihaz olduğunda kilitlenmeler sık görülür.
Kabul koşulu dardır: hesap ile doğrulayıcı arasında doğrulanmış bir ilişki ve kayıt malzemesinin özel tutulması. Tanıdık bir rozet bu koşulun parçası değildir ve yokluğu ihlalin kanıtı değildir.
Anahtar URI biçiminin kendisi Google Authenticator anahtar URI belirtiminde belgelenmiştir; bu belge yükün logo değil bir sır içerdiğini de hatırlatır. Kaybetmeyi göze alamayacağınız bir girişten bir şey dışa aktarmadan önce onu okuyun.