Ikki parol so'rovi MFA emas: VPN kirishi nimani tekshiradi

Kirish sahifasi parolni, so’ng ikkinchi sirni so’raydi va joylashtirish darhol ko’p omilli deb ta’riflanadi. Ba’zan shunday. Ko’pincha bu ikki marta to’plangan bitta omil, chunki ikkala qiymat ham bir xil odamning bir xil xotirasidan yoki bir xil yozuvidan tergan bilimidir. Kuchli tunnel shifri buni o’zgartirmaydi, mahsulot nomidagi «xavfsiz» so’zi ham o’zgartirmaydi.

Da’voni mexanizmdan ajratish bitta savolni talab qiladi: har bir qadam nimani va kimga isbotlaydi?

Omil — isbot, maydon emas

Ko’p omilli autentifikatsiya bir hisob uchun bir nechta turli isbot turi tekshirilishini bildiradi: foydalanuvchi biladigan narsa, egalik qiladigan narsa, o’zi bo’lgan narsa. Ikkalasi ham eslab qolingan satrni to’playdigan ikkita maydon — ikki marta so’ralgan bitta isbot turi. Bu foydali nazorat bo’lishi mumkin, chunki ikkita mustaqil sirni topish bittadan qiyin, lekin atama buni ta’riflamaydi va xavf baholashda shunday hisoblanmasligi kerak.

Tekshirish tomoni to’plash tomoni kabi muhim. Qurilmada yaratilgan kod faqat server uni shu hisobga bog’langan sir bilan tekshirsa va takrorlarni rad etsa, o’sha qurilma ustidan nazoratni isbotlaydi. Hammaga ishlaydigan umumiy kod, cheklanmagan kod yoki nima tasdiqlanayotganini hech qachon ko’rsatmaydigan qurilmada tasdiqlangan so’rov — barchasi yorliq taklif qilganidan zaifroq.

Shuning uchun kimdir VPNda MFA bormi deb so’rasa, ikkinchi qadam nimani isbotlashini va server uni qanday bog’lashini so’rang. Agar javob «o’sha katalogdan ikkinchi parol» bo’lsa, sizda bitta omil va siyosat suhbati bor, ikkinchi omil yo’q.

Sertifikat holatini taxmin qilmay, o’qish kerak

Mijoz sertifikati va parol ikki omilga o’xshaydi va shunday bo’lishi mumkin: sertifikat omborda yoki tokenda saqlanadi, parol esa eslab qolinadi. Bu bitta omil ham bo’lishi mumkin, agar sertifikat fayli saqlangan parol bilan bir profil katalogida himoyasiz yotsa yoki sertifikat bir necha kishi shaxsiy javobgarliksiz bo’lishadigan qurilmaga berilgan bo’lsa.

Hal qilinishi kerak bo’lgan savol — sertifikat kimni yoki nimani identifikatsiya qiladi. Qurilma sertifikati boshqariladigan mashina borligini isbotlaydi. Foydalanuvchi sertifikati shaxsni isbotlaydi. Agar joylashtirish har bir noutbukka bitta sertifikat berib, so’ng uning mavjudligini shaxsning isboti deb qabul qilsa, ikkinchi omil indamay noutbukni ushlab turgan har kim meros oladigan apparat xususiyatiga aylandi.

Bularning hech biri sertifikatlarni yomon fikrga aylantirmaydi. Bu qurilma kafolati bilan foydalanuvchi kafolati o’rtasidagi farqni yozib qo’yishga arziydigan qiladi, chunki ikkalasi turli savollarga javob beradi va ularni bitta deb hisoblaydigan muvofiqlik jadvali nima himoyalanganini oshirib yuboradi.

Shlyuzga ishonch va foydalanuvchiga ishonch — alohida muammolar

Ikkinchi omil siz tekshirmagan so’nggi nuqtaga hisob ma’lumotlarini kiritishni xavfsiz qilmaydi. Mijoz ko’zda tutilgan shlyuzni tanishi kerak, bunga server sertifikati va mijozning ishonch konfiguratsiyasi xizmat qiladi. Finshing kirishni hujumchi nazorat qiladigan serverga ko’chirish orqali ishlaydi va u yerda kiritilgan to’g’ri bir martalik kod real vaqtda haqiqiy xizmatga shunchaki uzatiladi.

Shuning uchun usul tanlovi natijani so’rovning ifodasidan ko’proq o’zgartiradi. Inson tergan kodlarni ishonarli sahifa ko’rsata oladigan har kim uzatishi mumkin, autentifikatsiyani aniq manba va sessiyaga bog’laydigan kriptografik usullar esa bunday uzatishga o’z dizayni bo’yicha qarshilik qiladi. Sizda qaysi biri borligi — usulning xossasi, dialogdagi qadamlar soni emas.

Yetkazib beruvchining qo’llab-quvvatlaydigan ro’yxatdan o’tish tartibi va mijoz oqimiga rioya qiling, parol maydoniga qo’shimcha so’rov burab qo’shmang. Uyda yasalgan ikkinchi qadam odatda o’rtada qoladi, omilni mazmunli qiladigan bog’lanishsiz ishqalanish qo’shadi.

Tiklash — ikkinchi kirish eshigi

Har bir kuchli kirishning autentifikator yo’qolganda qaytish yo’li bor va aynan shu yo’l odatda dizaynning eng zaif joyi. Agar qo’llab-quvvatlash agenti hisobdagi raqamga qo’ng’iroqdan keyin ikkinchi omilni tiklay olsa, hujumchi uchun eng arzon marshrut — kirish sahifasi emas, qo’llab-quvvatlash xizmati.

Almashtirish qanday ishlashini, uni kim tasdiqlashini va qanday dalillar talab qilinishini so’rang. So’ng zaxira kodlar kabi tiklash materiali asosiy hisob ma’lumotidan alohida saqlanishini tekshiring, bitta kompromis ikkalasini ham bermasligi uchun. NISTning raqamli identifikatsiya bo’yicha yo’riqnomasi verifikator bog’lanishi va autentifikator hayot tsiklini talabning qismi deb biladi, operatsion keyingi fikr sifatida emas.

Bahoga nima yozish kerak

Omillarni turi bo’yicha ta’riflang, har biri nimani isbotlashini nomlang va uning hisobga qanday bog’langanini ko’rsating. Usul uzatishga qarshilik qiladimi, qayd eting va tiklash yo’lini kirish kabi ehtiyotkorlik bilan ta’riflang.

So’ng joylashtirish shu ta’rifga ko’ra ko’p omillimi, ochiq ayting. «Ikki parol va mashina sertifikati» — halol gap va u o’quvchiga «ha» deydigan belgidan ancha ko’proq narsani aytadi.