Неправильна іконка автентифікатора? Чому логотип нічого не доводить
Відсутній логотип нічого не каже про те, у кого ваш другий фактор. Перевірте реєстрацію через обліковий запис і ніколи не завантажуйте QR-код, щоб виправити зображення.
Сірі квадрати там, де має бути логотип бренду, виглядають тривожно, і все ж саме вони — не те, на що варто реагувати. Зображення, яке малює автентифікатор, — це деталь відображення, похідна від міток у записі, тоді як питання безпеки в тому, чи належить секрет усередині цього запису вашому обліковому запису. Саме розділення цих двох речей відрізняє косметичне виправлення від інциденту з обліковими даними. Воно також зупиняє виправлення, яке робить гірше.
Іконка і секрет відповідають на різні питання
Запис автентифікатора створюється з ключового URI, який несе спільний секрет разом з міткою облікового запису та іменем видавця. Застосунок малює логотип того видавця, якого впізнає, а незнайомий або змінений видавець дає просто узагальнене зображення. Ніщо в цьому відображенні не каже, у кого ще є копія секрету, і ніщо в правильному логотипі не каже, що запис належить лише вам. Читайте відображення як підказку про мітку, а не як твердження про зберігання.
Правильне й зворотне, і це небезпечніший напрямок. Переконливий логотип доводить ще менше, ніж відсутній.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Ніколи не реєструйтеся заново, щоб виправити зображення
Виправлення, яке гуляє інтернетом, — знову згенерувати QR-код, тобто вивантажити секрет і пропустити його через інший інструмент. Це перетворює проблему відображення на розкриття, бо у вивантаженні саме той матеріал, який потрібен нападнику для створення чинних кодів. Завантаження його у вебгенератор віддає другий фактор третій стороні в обмін на красивішу іконку.
Якщо обліковий запис усе ще приймає коди, реєстрація ціла, а відображення — косметика. Звіртеся з документацією самого автентифікатора про мітки видавця й пошук іконок і залиште запис у спокої. Правка мітки, щоб нав'язати логотип, — це зміна запису з причини, яка не має стосунку до автентифікації.
Тримайте початкове зображення QR, сирий ключовий URI і будь-який ручний секрет поза тікетами, чатами, скриншотами й публічними трекерами проблем. Скриншот сторінки налаштування часто містить більше, ніж розраховував той, хто його зробив.
Коли секрет справді розкрили
Ставтеся до розкриття як до окремого інциденту з власною реакцією. Скористайтеся підтримуваним сервісом процесом заміни, щоб зареєструвати новий автентифікатор, переконайтеся, що новий запис видає прийнятні коди, і відкличте стару реєстрацію на сервері. Видалення запису локально не прибирає реєстрацію на боці сервера, тож розкритий секрет може працювати далі, доки сервісу не повідомлять інше. Саме в цій прогалині між локальним видаленням і станом сервера лежить більша частина ризику.
Порядок тут важливий. Спершу зареєструйте заміну, перевірте її і лише потім прибирайте стару, бо більшість сервісів заблокують вас, якщо останній фактор зникне. Коди відновлення теж входять у цю послідовність, оскільки вони — запасний шлях, коли телефон недоступний.
Перевірте, чи не використовувався той самий секрет деінде. Ключовий URI, вставлений у генератор, вийшов з-під вашого контролю, і обліковий запис за ним слід вважати спільним, доки реєстрацію не замінять.
У зверненнях до підтримки варто описувати візуальну проблему, не додаючи кодів чи матеріалів налаштування. Усе, що стосується облікового запису, належить перевіреному каналу постачальника, а не публічній гілці.
Збережіть шлях відновлення до видалення
Перш ніж прибирати будь-який робочий запис, переконайтеся, що існує схвалений шлях відновлення і що ви можете ним скористатися. Косметичне виправлення, яке закінчується блокуванням, — результат гірший за неправильний логотип, а блокування часті, коли єдиний зареєстрований пристрій — той, який редагують.
Умова прийняття вузька: перевірений зв'язок між обліковим записом і автентифікатором, причому матеріали реєстрації зберігаються приватно. Знайомий значок не входить до цієї умови, і його відсутність не є доказом компрометації.
Сам формат ключового URI описано в специфікації ключового URI Google Authenticator, яка також нагадує, що корисне навантаження містить секрет, а не логотип. Прочитайте її, перш ніж вивантажувати щось із запису, який ви не можете дозволити собі втратити.