Aynı Dizüstü Bilgisayardaki TOTP Gerçekten İkinci Faktör mü?
VPN dizüstü bilgisayarındaki kod üretici, aynı ele geçirme sınırının içinde duran bir sahiplik faktörüdür. Önce tohumu ve oturumu izleyin.
Önce parola, sonra altı haneli kod isteyen bir VPN istemcisinde oturum açın; iki istem iki bağımsız bariyer gibi görünür. Faktör türüne göre sayıldığında öyledir: parola bildiğiniz bir şey, kod sahip olduğunuz bir şeydir. Tek bir ele geçirilmiş dizüstü bilgisayarın neyi açığa çıkardığına göre sayıldığında ise tek bir sınıra çökebilirler, çünkü sahip olduğunuz şey yazmakta olduğunuz makinedeki bir dosyadır. Bu iki sayım arasındaki fark bu incelemenin konusudur.
Bir oturum açmayı parola alanından kod kutusuna kadar izleyin
Etiketlere değil, sıraya bakın. İstemci parolayı gönderir, sunucu ikinci bir kanıt gerektiğini yanıtlar ve istemci altı ya da sekiz hane için bir alan açar. O alanın arkasında ortak bir sır ve bir saat tutan üretici uygulaması vardır. Sırdan ve geçerli zaman adımından bir değer hesaplar; sunucu da aynı değeri kendi sır kopyasından yeniden hesaplar.
İki taraf da aynı anahtar malzemesini tutar. Bu simetri, kodu sır olarak tanımlarken insanların kaçırdığı kısımdır: sağlayıcı da sizin kodlarınızı üretebilir, bu yüzden tohum herhangi bir tek çıktıdan daha değerlidir. Sızan kod tek kullanımlık bir değerdir; onu üreten tohum ise değiştirilene kadar geçerli değerler üretmeye devam eden kalıcı bir kimlik bilgisidir.
Etkinleştirme akışın diğer yarısıdır. Cihaz parolasıyla, biyometrik istemle veya şifrelenmiş bir kapsayıcıyla açılan üretici, sahiplik kanıtı artı başka bir şey sunar. Şifrelemesiz çalışan ve işletim sistemi oturumuyla açılan üretici yalnızca dosyayı sunar. Aynı uygulama, kaydın nasıl yapıldığına göre iki düzeni de sunabilir; bu yüzden dağıtım kararı o adımda bulunur, uygulamanın pazarlama sayfasında değil.
Kodun gerçekte neyi kanıtladığına karar verin
Standartların dili burada alışılmadık ölçüde açıktır ve doğrudan okunmaya değer. NIST'in kimlik doğrulayıcılar rehberi yazılım tabanlı OTP üreticilerini kimlik doğrulayıcı olarak listeler, etkinleştirme faktörü olan çok faktörlü OTP'yi tek faktörlü OTP'den ayırır ve OTP kimlik doğrulamasının oltalamaya dayanıklı olmadığını belirtir. Bu üç maddenin her biri istem hakkında ne iddia edebileceğinizi değiştirir.
Oltalamaya dayanıklı olmamak en keskin kenardır. Bir alana yazılan kod, gerçek zamanda, buna ikna edilmiş bir kişi tarafından başkasının alanına yazılabilir. Pencere kısadır; bu, yararlı denemelerin sayısını azaltır ama tekniği kapatmaz. Gereksiniminiz buna direnmeyi içeriyorsa, üretici nerede çalışırsa çalışsın OTP yanlış ilkedir.
Tek faktör ile çok faktör arasındaki fark ikinci ayrımdır. Etkinleştirme adımı olmadan görünen bir kod, bir dosyanın sahipliğini kanıtlar ve başka bir şeyi değil; dosya da ancak onu okuyabilen hesap kadar güçlüdür. Bir etkinleştirme faktörü ekleyin, iddia iyileşir; ancak yine de oturum açmada sunulan kanıtı tanımlar, onu üreten makinenin yalıtımını değil.
Ele geçirilmiş bir dizüstü bilgisayarın nerelere ulaşabildiğini görün
İş istasyonunda kod yürütme yeteneği olan bir saldırgan, yazmakta olduğunuz alanı okumakla sınırlı değildir. Başarılı bir oturum açmadan sonra kurulan oturum genellikle bir belirteç ya da çerezdir ve belirteç başka bir makineden hiç kod olmadan kullanılabilir. Savunduğunuz yetenek buysa, oturum açmaya ikinci bir istem eklemek saldırıdaki adım sayısını değiştirir, sonucu değil.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Üçüncü sütunu dürüst olan diye okuyun. Yukarıdaki her düzen, oturum orada kullanıldığı için iş istasyonunun güven sınırının içinde bir şey bırakır. Değişen şey, uzun ömürlü sırrın bu sınırla birlikte seyahat edip etmediği ya da dışında kalıp kalmadığı ve kanıtın belirli bir kaynağa bağlı olup olmadığıdır; öyle ki taklit bir sayfa onu iletemez.
İki küçük ayrıntı aynı resme aittir. Bir kod kabul penceresi boyunca geçerli kalır, çoğu zaman otuz saniye artı saat sapmasına tolerans, bu yüzden yakalanan bir değer, doğrulayıcı yeniden kullanımı reddetmedikçe o pencere içinde yeniden oynatılabilir. Ve yeni bir üretici kurmak, zaten kimliği doğrulanmış oturumları sonlandırmaz; bu yüzden eski bir oturum, olayı sınırlaması gereken kimlik bilgisi değişikliğinden daha uzun yaşar.
Üreticiyi yalnızca ayrılığın yardımcı olduğu yere taşıyın
Kod üreticiyi telefona koymak belirli bir arıza için gerçek bir iyileştirmedir: çalınan bir dizüstü bilgisayar artık iki kanıtı birlikte taşımaz. Ancak dizüstü bilgisayardaki oturum gaspına hiçbir şey yapmaz, oltalama sayfasına kod yazan kullanıcı için hiçbir şey yapmaz ve bir kez yazdırılıp not uygulamasına fotoğraflanmış kurtarma kodları için de hiçbir şey yapmaz.
Bu yüzden aracı seçmeden önce gereksinimi yazın. Amaç sızmış bir parolaya karşı ek kanıt ise bunu açıkça söyleyin, aynı cihazdaki uygulama bunu zaten sağlar. Amaç VPN iş istasyonunun ele geçirilmesine dayanıklılık ise o saldırgan yeteneğini adlandırın ve bunun için değerlendirilmiş bir düzen seçin; oltalama gereksinimini varsaymak yerine ayrıca belirtin.
Sonra işletim yarısını ele alın; bunlardan herhangi birinin bir olayla temas ettiğinde ayakta kalıp kalmayacağını o belirler. Cihaz kaybı belgelenmiş bir değiştirme yolu gerektirir, kimlik bilgisi rotasyonu etkin oturumların iptalini gerektirir ve kayıt malzemesi tohumla aynı korumayı gerektirir, çünkü korumasız bir kayıt kopyası saldırgana aynı gelecekteki kodları daha kısa bir yoldan verir. Bu dört maddeyi sıralamak, aynı cihazdaki belirteçlerin iyi mi yoksa değersiz mi olduğunu tartışmaktan daha faydalıdır.