Xuddi shu noutbukdagi TOTP rostdan ham ikkinchi omilmi?
VPN noutbukidagi kod generatori o'sha buzilish chegarasi ichida turuvchi egalik omilidir. Avval urug' va sessiyani kuzatib boring.
Avval parol, keyin olti xonali kod so'raydigan VPN mijoziya kiring, va ikkita so'rov ikkita mustaqil to'siqday ko'rinadi. Omil turi bo'yicha hisoblasak, shunday: parol — o'zingiz bilgan narsa, kod — o'zingizda bor narsa. Bitta buzilgan noutbuk nimani ochib berishiga qarab hisoblasak, ular bitta chegaraga qulashi mumkin, chunki sizda bor narsa — siz yozayotgan mashinadagi fayl. Bu ikki hisob orasidagi farq shu sharhning mavzusi.
Parol maydonidan kod maydonigacha bitta kirishni kuzatib boring
Belgilarga emas, ketma-ketlikka qarang. Mijoz parolni yuboradi, server ikkinchi dalil kerakligini javob qiladi va mijoz olti yoki sakkiz raqam uchun maydon ochadi. O'sha maydon ortida umumiy sir va soatni saqlaydigan generator ilovasi turadi. U sir va joriy vaqt qadamidan qiymat hisoblaydi, server esa xuddi shu qiymatni o'z sir nusxasidan qayta hisoblaydi.
Ikki tomon ham bir xil kalit materialini saqlaydi. Bu simmetriya — kodni sir deb ta'riflaganda odamlar e'tibordan chetda qoldiradigan qism: provayder ham sizning kodlaringizni yaratishi mumkin, shuning uchun urug' har qanday yakka chiqishdan qimmatroq. Oqib ketgan kod bir martalik qiymat; uni yaratgan urug' esa almashtirilmaguncha haqiqiy qiymatlar ishlab chiqaradigan doimiy hisob ma'lumotidir.
Faollashtirish oqimning ikkinchi yarmi. Qurilma paroli, biometrik so'rov yoki shifrlangan idish bilan ochiladigan generator egalik dalilini va yana nimani taqdim etadi. Shifrlashsiz ishlaydigan va operatsion tizim sessiyasi bilan ochiladigan generator faqat faylni taqdim etadi. Xuddi shu ilova ro'yxatdan o'tish qanday bajarilganiga qarab ikkala tartibni ham taklif qilishi mumkin, shuning uchun joriy etish qarori o'sha qadamda, ilovaning marketing sahifasida emas.
Kod aslida nimani isbotlashini hal qiling
Standartlar tili bu yerda g'oyat ravshan va to'g'ridan-to'g'ri o'qishga arziydi. NISTning autentifikatorlar bo'yicha qo'llanmasi dasturiy OTP generatorlarini autentifikatorlar sifatida sanaydi, faollashtirish omili bo'lgan ko'p omilli OTPdan bir omilli OTPni ajratadi va OTP autentifikatsiyasi fishingga chidamli emasligini aytadi. Bu uch qoidaning har biri so'rov haqida nima da'vo qilishingiz mumkinligini o'zgartiradi.
Fishingga chidamsizlik — eng o'tkir qirra. Maydonga yozilgan kodni boshqa birovning maydoniga, real vaqtda, bunga ko'ndirilgan odam yozishi mumkin. Deraza qisqa, bu foydali urinishlar sonini kamaytiradi, lekin texnikani yopmaydi. Agar talabingiz shunga qarshilik ko'rsatishni o'z ichiga olsa, generator qayerda ishlamasin, OTP noto'g'ri primitivdir.
Bir omil ko'p omilga qarshi — ikkinchi farq. Faollashtirish qadamisiz paydo bo'lgan kod faylni egalashni isbotlaydi va boshqa hech narsani emas, fayl esa uni o'qiy oladigan hisob qanchalik mustahkam bo'lsa, shunchalik mustahkam. Faollashtirish omilini qo'shsangiz, da'vo yaxshilanadi, garchi u hamon kirishda taqdim etilgan dalilni tasvirlaydi, uni ishlab chiqaruvchi mashinaning izolyatsiyasini emas.
Buzilgan noutbuk qayerga yetib borishini ko'ring
Ish stansiyasida kod bajarish imkoniyatiga ega hujumchi siz yozayotgan maydonni o'qish bilan cheklanmaydi. Muvaffaqiyatli kirishdan keyin o'rnatilgan sessiya odatda token yoki cookie bo'ladi, tokenni esa boshqa mashinadan umuman kodsiz ishlatish mumkin. Agar bu siz himoya qilayotgan qobiliyat bo'lsa, kirishda ikkinchi so'rov qo'shish hujumdagi qadamlar sonini o'zgartiradi, natijani emas.
| Arrangement | What it adds at login | What it leaves inside the laptop boundary |
|---|---|---|
| Password plus TOTP app on the same machine | A possession proof the password alone does not supply | The seed, the unlock step and the authenticated session |
| TOTP app on a separate phone | Seed storage outside the workstation | Session cookies, the typed password and any prompt that can be proxied |
| Hardware key with a signed challenge | A per-login signature bound to the origin | Whatever the browser and the workstation are already trusted to do |
Uchinchi ustunni halol ustun deb o'qing. Yuqoridagi har bir tartib ish stansiyasining ishonch chegarasi ichida nimadir qoldiradi, chunki sessiya aynan o'sha yerda ishlatiladi. O'zgaradigan narsa — uzoq muddatli sir shu chegara bilan birga sayohat qiladimi yoki undan tashqarida qoladimi, va dalil muayyan kelib chiqishga bog'langanmi, shunda o'xshash sahifa uni qayta uzata olmaydi.
Yana ikkita kichik tafsilot o'sha suratga tegishli. Kod o'zining qabul qilish oynasi davomida amal qiladi, ko'pincha o'ttiz soniya ustiga soat og'ishiga bag'rikenglik, shuning uchun ushlangan qiymatni o'sha oyna ichida qayta ijro etish mumkin, agar tekshiruvchi qayta ishlatishdan bosh tortmasa. Va yangi generator o'rnatish allaqachon autentifikatsiya qilingan sessiyalarni tugatmaydi, shuning uchun eskirgan sessiya voqeani cheklashi kerak bo'lgan hisob ma'lumoti almashinuvidan uzoqroq yashaydi.
Generatorni faqat ajratish yordam beradigan joyga ko'chiring
Kod generatorini telefonga qo'yish bitta aniq nosozlik uchun haqiqiy yaxshilanish: o'g'irlangan noutbuk endi ikkala dalilni ham olib yurmaydi. Lekin u noutbukdagi sessiya o'g'irlanishiga hech narsa qilmaydi, fishing sahifasida kod yozayotgan foydalanuvchi uchun ham, bir marta chop etilib eslatmalar ilovasiga suratga olingan tiklash kodlari uchun ham hech narsa qilmaydi.
Shuning uchun asbobni tanlashdan oldin talabni yozing. Maqsad oqib ketgan parolga qarshi qo'shimcha dalil bo'lsa, buni ochiq ayting, va xuddi shu qurilmadagi ilova uni allaqachon beradi. Maqsad VPN ish stansiyasining buzilishiga bardoshlik bo'lsa, o'sha hujumchi qobiliyatini nomlang va unga baholangan tartibni tanlang, fishing talabini esa taxmin qilmasdan alohida ayting.
Keyin operatsion yarmini ko'rib chiqing, u bulardan birortasi voqea bilan to'qnashganda omon qoladimi-yo'qmi shuni hal qiladi. Qurilmani yo'qotish hujjatlashtirilgan almashtirish yo'lini talab qiladi, hisob ma'lumotlarini aylantirish faol sessiyalarni bekor qilishni talab qiladi, ro'yxatdan o'tish materiali esa urug' kabi himoyani talab qiladi, chunki himoyasiz ro'yxat nusxasi hujumchiga o'sha kelajak kodlarini qisqaroq yo'l bilan beradi. Shu to'rt bandni sanash bir qurilmadagi tokenlar yaxshimi yoki foydasizmi degan bahsdan foydaliroq.