İki parola istemi MFA değildir: VPN girişi neyi doğrular

Giriş sayfası bir parola, ardından ikinci bir sır istiyor ve kurulum hemen çok faktörlü olarak tanımlanıyor. Bazen öyledir. Çoğu zaman bu, iki kez toplanan tek bir faktördür, çünkü her iki değer de aynı kişinin aynı belleğinden veya aynı notundan yazdığı bilgidir. Güçlü bir tünel şifrelemesi bunu değiştirmez, ürün adındaki «güvenli» sözcüğü de değiştirmez.

İddiayı mekanizmadan ayırmak tek bir soru gerektirir: her adım neyi ve kime kanıtlar?

Faktör bir kanıttır, alan değildir

Çok faktörlü kimlik doğrulama, aynı hesap için birden fazla farklı kanıt türünün doğrulandığı anlamına gelir: kullanıcının bildiği bir şey, sahip olduğu bir şey, olduğu bir şey. İkisi de hatırlanan bir dizi toplayan iki alan, iki kez istenen tek bir kanıt türüdür. Bu yararlı bir kontrol olabilir, çünkü iki bağımsız sırrı tahmin etmek birden zordur, ama terimin tanımladığı şey bu değildir ve bir risk değerlendirmesinde böyle sayılmamalıdır.

Doğrulama tarafı toplama tarafı kadar önemlidir. Bir cihazda üretilen kod, yalnızca sunucu onu bu hesaba bağlı bir sırla denetleyip tekrarları reddederse o cihazın kontrolünü kanıtlar. Herkes için çalışan ortak bir kod, sınırsız bir kod ya da neyin onaylandığını hiç göstermeyen bir cihazda onaylanan bir istem, etiketin ima ettiğinden daha zayıftır.

Bu yüzden biri VPN’de MFA var mı diye sorduğunda, ikinci adımın neyi kanıtladığını ve sunucunun onu nasıl bağladığını sorun. Yanıt «aynı dizinden ikinci bir parola» ise, bir faktörünüz ve bir politika sohbetiniz var, ikinci faktörünüz yok.

Sertifika durumu varsayılarak değil, okunarak anlaşılır

Bir istemci sertifikası artı parola iki faktör gibi görünür ve öyle de olabilir: sertifika bir depoda ya da bir token üzerinde tutulur, parola ise hatırlanır. Tek faktör de olabilir: sertifika dosyası kayıtlı parolayla aynı profil dizininde korumasız duruyorsa veya sertifika, birkaç kişinin bireysel sorumluluk olmadan paylaştığı bir cihaza verilmişse.

Çözülmesi gereken soru, sertifikanın kimi ya da neyi tanımladığıdır. Cihaz sertifikası yönetilen bir makinenin varlığını kanıtlar. Kullanıcı sertifikası bir kimliği kanıtlar. Kurulum dizüstü başına bir sertifika verip sonra varlığını kişinin kanıtı sayıyorsa, ikinci faktör sessizce dizüstünü elinde tutan herkesin devraldığı bir donanım özelliğine dönüşmüştür.

Bunların hiçbiri sertifikaları kötü bir fikir yapmaz. Cihaz güvencesi ile kullanıcı güvencesi arasındaki ayrımı yazmaya değer kılar, çünkü ikisi farklı soruları yanıtlar ve onları tek sayan bir uyum tablosu neyin korunduğunu abartır.

Ağ geçidi güveni ile kullanıcı güveni ayrı sorunlardır

İkinci faktör, doğrulamadığınız bir uç noktaya kimlik bilgilerini yazmayı güvenli kılmaz. İstemci amaçlanan ağ geçidini tanımalıdır; sunucu sertifikası ve istemcinin güven yapılandırması bunun içindir. Oltalama, girişi saldırganın denetlediği bir sunucuya taşıyarak çalışır ve oraya girilen doğru bir tek kullanımlık kod gerçek zamanda gerçek hizmete aktarılır.

Bu yüzden yöntem seçimi sonucu istemin ifadesinden daha çok değiştirir. Bir kişinin yazdığı kodları inandırıcı bir sayfa gösterebilen herkes aktarabilir; kimlik doğrulamayı belirli kaynağa ve oturuma bağlayan kriptografik yöntemler ise bu aktarımı tasarımı gereği engeller. Hangisine sahip olduğunuz yöntemin özelliğidir, iletişim kutusundaki adım sayısının değil.

Sağlayıcının desteklediği kayıt ve istemci akışını izleyin, parola alanına fazladan bir istem vidalamak yerine. Ev yapımı bir ikinci adım genellikle ikisinin arasında bir yere iner ve faktörü anlamlı kılan bağ olmadan sürtünme ekler.

Kurtarma ikinci ön kapıdır

Her güçlü girişin kimlik doğrulayıcı kaybolduğunda geri dönüş yolu vardır ve bu yol genellikle tasarımın en zayıf yeridir. Bir destek temsilcisi, kayıtlı bir numaraya yapılan aramadan sonra ikinci faktörü sıfırlayabiliyorsa, saldırgan için en ucuz rota giriş sayfası değil, yardım masasıdır.

Değiştirmenin nasıl işlediğini, kimin onayladığını ve hangi kanıtların istendiğini sorun. Ardından yedek kodlar gibi kurtarma malzemesinin birincil kimlik bilgisinden ayrı tutulduğunu denetleyin, böylece tek bir ihlal ikisini birden vermez. NIST’in dijital kimlik rehberi, doğrulayıcı bağlamayı ve kimlik doğrulayıcının yaşam döngüsünü gereksinimin parçası sayar, operasyonel bir sonradan akıl değil.

Değerlendirmeye ne yazmalı

Faktörleri türlerine göre tanımlayın, her birinin neyi kanıtladığını adlandırın ve hesaba nasıl bağlandığını belirtin. Yöntemin aktarıma direnip direnmediğini not edin ve kurtarma yolunu giriş kadar özenle anlatın.

Sonra kurulumun bu tanıma göre çok faktörlü olup olmadığını açıkça söyleyin. «İki parola ve bir makine sertifikası» dürüst bir cümledir ve okuyucuya «evet» diyen bir onay kutusundan çok daha fazlasını anlatır.