Biểu tượng ứng dụng xác thực sai? Vì sao logo không chứng minh được gì
Logo thiếu không nói lên điều gì về việc ai đang giữ yếu tố thứ hai của bạn. Hãy xác minh đăng ký qua tài khoản, và tuyệt đối không tải mã QR lên để sửa một hình ảnh.
Các ô vuông xám ở nơi lẽ ra phải có logo thương hiệu trông đáng lo, nhưng chúng lại là thứ sai để hành động. Hình ảnh mà ứng dụng xác thực vẽ ra là một chi tiết hiển thị bắt nguồn từ các nhãn trong mục nhập, trong khi câu hỏi bảo mật là liệu bí mật bên trong mục nhập đó có thuộc tài khoản của bạn không. Tách hai điều này ra chính là điều phân biệt một lần sửa chữa bề ngoài với một sự cố thông tin đăng nhập. Nó cũng ngăn lần sửa chữa khiến mọi thứ tệ hơn.
Biểu tượng và bí mật trả lời những câu hỏi khác nhau
Một mục nhập của ứng dụng xác thực được tạo từ một URI khóa mang bí mật chia sẻ cùng với nhãn tài khoản và tên nhà phát hành. Ứng dụng vẽ logo từ nhà phát hành mà nó nhận ra, còn nhà phát hành không rõ hoặc đã thay đổi chỉ tạo ra một hình ảnh chung chung. Không có gì trong cách hiển thị đó cho bạn biết ai khác có bản sao của bí mật, và không có gì trong một logo đúng cho bạn biết rằng mục nhập chỉ thuộc về bạn. Hãy đọc phần hiển thị như một gợi ý về nhãn, không phải một tuyên bố về việc lưu giữ.
Điều ngược lại cũng đúng, và đó mới là hướng nguy hiểm hơn. Một logo thuyết phục chứng minh còn ít hơn cả một logo thiếu.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Đừng bao giờ đăng ký lại để sửa một hình ảnh
Cách sửa chữa đang lan truyền trên mạng là tạo lại mã QR, nghĩa là xuất bí mật ra và đưa nó qua một công cụ khác. Điều đó biến một vấn đề hiển thị thành một lần để lộ, vì bản xuất chứa đúng thứ vật liệu mà kẻ tấn công cần để tạo ra mã hợp lệ. Tải nó lên một trình tạo trên web là trao yếu tố thứ hai cho bên thứ ba để đổi lấy một biểu tượng đẹp hơn.
Nếu tài khoản vẫn xác minh mã, đăng ký vẫn nguyên vẹn và phần hiển thị chỉ là bề ngoài. Hãy tra tài liệu của chính ứng dụng xác thực về nhãn nhà phát hành và việc tìm kiếm biểu tượng, rồi để yên mục nhập. Sửa nhãn để ép ra một logo là thay đổi mục nhập vì một lý do không liên quan gì đến xác thực.
Giữ hình QR gốc, URI khóa thô và mọi bí mật nhập tay ra khỏi phiếu hỗ trợ, luồng trò chuyện, ảnh chụp màn hình và trình theo dõi sự cố công khai. Ảnh chụp màn hình một trang thiết lập thường chứa nhiều hơn những gì người chụp dự định.
Khi bí mật thực sự bị lộ
Coi việc để lộ là một sự cố riêng với cách ứng phó riêng. Dùng quy trình thay thế được dịch vụ hỗ trợ để đăng ký một ứng dụng xác thực mới, xác nhận rằng mục nhập mới tạo ra mã được chấp nhận, rồi gỡ đăng ký cũ trên máy chủ. Xóa mục nhập ở máy cục bộ không gỡ bỏ đăng ký phía máy chủ, nên bí mật đã lộ vẫn có thể tiếp tục hoạt động cho đến khi dịch vụ được thông báo khác. Phần lớn rủi ro nằm trong khoảng trống giữa việc xóa cục bộ và trạng thái máy chủ.
Thứ tự ở đây rất quan trọng. Hãy đăng ký bản thay thế trước, xác minh nó, và chỉ sau đó mới gỡ bản cũ, vì hầu hết dịch vụ sẽ khóa bạn nếu yếu tố cuối cùng biến mất. Mã khôi phục cũng thuộc trình tự đó, vì chúng là đường dự phòng khi không có điện thoại.
Kiểm tra xem cùng một bí mật có được dùng ở nơi khác không. Một URI khóa bị dán vào trình tạo đã ra khỏi tầm kiểm soát của bạn, và tài khoản phía sau nó nên được coi là dùng chung cho đến khi đăng ký được thay thế.
Yêu cầu hỗ trợ nên mô tả vấn đề thị giác mà không kèm mã hay vật liệu thiết lập. Mọi thứ riêng cho tài khoản thuộc về kênh đã xác minh của nhà cung cấp, không phải một luồng công khai.
Giữ một đường khôi phục trước khi xóa
Trước khi gỡ bất kỳ mục nhập đang hoạt động nào, hãy xác nhận rằng có một đường khôi phục đã được phê duyệt và bạn có thể dùng nó. Một lần sửa chữa bề ngoài kết thúc bằng việc bị khóa là kết quả tệ hơn logo sai, và việc bị khóa thường xảy ra khi thiết bị đã đăng ký duy nhất chính là thiết bị đang được sửa.
Điều kiện chấp nhận hẹp: một mối quan hệ đã xác minh giữa tài khoản và ứng dụng xác thực, với vật liệu đăng ký được giữ riêng tư. Một huy hiệu quen thuộc không phải là phần của điều kiện đó, và việc thiếu nó không phải bằng chứng bị xâm phạm.
Bản thân định dạng URI khóa được ghi trong đặc tả URI khóa của Google Authenticator, tài liệu này cũng nhắc rằng phần tải chứa bí mật chứ không phải logo. Hãy đọc nó trước khi xuất bất cứ thứ gì từ một mục nhập mà bạn không thể để mất.