Hai lần hỏi mật khẩu không phải MFA: đăng nhập VPN xác minh điều gì

Trang đăng nhập hỏi mật khẩu, rồi hỏi thêm một bí mật thứ hai, và việc triển khai lập tức được mô tả là đa nhân tố. Đôi khi đúng là như vậy. Thường thì đó là một nhân tố được thu thập hai lần, vì cả hai giá trị đều là kiến thức mà cùng một người gõ ra từ cùng một trí nhớ hoặc cùng một ghi chú. Một thuật toán mã hóa đường hầm mạnh không thay đổi điều đó, và từ „bảo mật“ trong tên sản phẩm cũng vậy.

Tách tuyên bố khỏi cơ chế chỉ cần một câu hỏi: mỗi bước chứng minh điều gì, và với ai?

Nhân tố là bằng chứng, không phải trường nhập

Xác thực đa nhân tố nghĩa là có nhiều hơn một loại bằng chứng khác biệt được xác minh cho cùng một tài khoản: điều người dùng biết, điều người dùng có, điều người dùng là. Hai trường cùng thu thập một chuỗi được ghi nhớ là một loại bằng chứng được hỏi hai lần. Đó có thể là một biện pháp kiểm soát hữu ích, vì hai bí mật độc lập khó đoán hơn một, nhưng nó không phải điều thuật ngữ mô tả và không nên được tính như vậy trong đánh giá rủi ro.

Phía xác minh quan trọng ngang với phía thu thập. Mã được tạo trên thiết bị chỉ chứng minh quyền kiểm soát thiết bị đó nếu máy chủ kiểm tra nó với một bí mật gắn với tài khoản này và từ chối việc lặp lại. Mã dùng chung cho mọi người, mã không giới hạn, hoặc yêu cầu được chấp thuận trên thiết bị không bao giờ hiển thị điều gì đang được chấp thuận đều yếu hơn nhãn gợi ý.

Vì vậy khi ai đó hỏi VPN có MFA không, hãy hỏi bước thứ hai chứng minh điều gì và máy chủ ràng buộc nó ra sao. Nếu câu trả lời là „mật khẩu thứ hai từ cùng thư mục“, bạn có một nhân tố và một cuộc trao đổi về chính sách, không phải nhân tố thứ hai.

Trường hợp chứng chỉ phải được đọc, không phải giả định

Chứng chỉ máy khách cộng mật khẩu trông như hai nhân tố, và có thể đúng như vậy: chứng chỉ được giữ trong kho hoặc trên token, và mật khẩu được ghi nhớ. Nó cũng có thể chỉ là một, nếu tệp chứng chỉ nằm không được bảo vệ trong cùng thư mục hồ sơ với mật khẩu đã lưu, hoặc nếu chứng chỉ được cấp cho thiết bị mà nhiều người dùng chung không có trách nhiệm cá nhân.

Câu hỏi cần giải quyết là chứng chỉ nhận diện ai hoặc cái gì. Chứng chỉ thiết bị chứng minh có một máy được quản lý hiện diện. Chứng chỉ người dùng chứng minh một danh tính. Nếu việc triển khai cấp một chứng chỉ cho mỗi laptop rồi coi sự hiện diện của nó là bằng chứng về con người, nhân tố thứ hai đã lặng lẽ trở thành một thuộc tính của phần cứng mà bất kỳ ai cầm laptop đều thừa hưởng.

Không điều nào trong số đó khiến chứng chỉ thành ý tưởng tồi. Nó khiến việc phân biệt giữa bảo đảm thiết bị và bảo đảm người dùng trở nên đáng ghi lại, vì hai thứ trả lời hai câu hỏi khác nhau và một bảng tuân thủ tính chúng làm một sẽ đánh giá quá cao điều được bảo vệ.

Tin cậy cổng vào và tin cậy người dùng là hai vấn đề riêng biệt

Nhân tố thứ hai không làm cho việc gõ thông tin xác thực vào một điểm cuối mà bạn chưa xác minh trở nên an toàn. Máy khách phải nhận ra cổng vào dự định, và đó là mục đích của chứng chỉ máy chủ và cấu hình tin cậy của máy khách. Lừa đảo hoạt động bằng cách chuyển đăng nhập sang máy chủ do kẻ tấn công kiểm soát, và mã dùng một lần đúng nhập ở đó chỉ đơn giản được chuyển tiếp đến dịch vụ thật trong thời gian thực.

Đó là lý do việc chọn phương thức thay đổi kết quả nhiều hơn cách diễn đạt yêu cầu. Mã do một người gõ có thể bị chuyển tiếp bởi bất kỳ ai có thể trình bày một trang thuyết phục, trong khi các phương thức mật mã ràng buộc xác thực với nguồn gốc và phiên cụ thể chống lại việc chuyển tiếp đó ngay từ thiết kế. Bạn có loại nào là thuộc tính của phương thức, không phải số bước trong hộp thoại.

Hãy làm theo quy trình đăng ký và luồng máy khách được nhà cung cấp hỗ trợ thay vì gắn thêm một yêu cầu vào trường mật khẩu. Bước thứ hai tự chế thường hạ cánh ở đâu đó ở giữa, thêm ma sát mà không có ràng buộc khiến nhân tố trở nên có ý nghĩa.

Khôi phục là cánh cửa trước thứ hai

Mọi đăng nhập mạnh đều có đường quay lại khi mất thiết bị xác thực, và chính con đường đó thường là điểm yếu nhất trong thiết kế. Nếu một nhân viên hỗ trợ có thể đặt lại nhân tố thứ hai sau một cuộc gọi đến số đã đăng ký, tuyến rẻ nhất cho kẻ tấn công là bộ phận trợ giúp, không phải trang đăng nhập.

Hỏi việc thay thế hoạt động ra sao, ai phê duyệt và cần bằng chứng gì. Sau đó kiểm tra xem vật liệu khôi phục như mã dự phòng có được lưu riêng khỏi thông tin xác thực chính không, để một vụ xâm phạm không trao cả hai. Hướng dẫn của NIST về danh tính số coi việc ràng buộc bộ xác minh và vòng đời của thiết bị xác thực là một phần của yêu cầu, không phải suy nghĩ vận hành sau đó.

Viết gì trong đánh giá

Mô tả các nhân tố theo loại, nêu mỗi nhân tố chứng minh điều gì và cho biết nó được gắn với tài khoản ra sao. Ghi chú xem phương thức có chống lại việc chuyển tiếp không, và mô tả đường khôi phục cẩn thận như với đăng nhập.

Sau đó nói rõ việc triển khai có phải đa nhân tố theo định nghĩa đó không. „Hai mật khẩu và một chứng chỉ máy“ là một câu trung thực, và nó cho người đọc biết nhiều hơn hẳn một ô đánh dấu trả lời có.