Gesaan dan konteks
Pasukan anda sedang melancarkan kunci laluan. Pasukan keselamatan lebih mengutamakan kelayakan yang terikat pada satu peranti atau kunci perkakasan; pasukan produk bimbang pengguna akan kehilangan akses selepas menukar peranti dan mahukan kunci laluan yang disegerakkan. Terangkan model ancaman, pemulihan, jaminan (assurance), kawalan perusahaan dan perkara yang boleh diperhatikan oleh relying party.
Jangan anggap "kunci laluan" sebagai satu tahap jaminan sahaja. Asingkan sama ada sesuatu kelayakan layak disandarkan (backup-eligible), boleh digunakan merentas peranti, ditadbir oleh perusahaan dan boleh dipulihkan selepas peranti hilang.
Perkara yang diuji oleh penemu duga
Penemu duga menjangkakan kunci laluan difahami sebagai kelayakan kunci awam WebAuthn yang mempunyai sifat sandaran dan penyegerakan yang berbeza. FIDO menerangkan kunci laluan yang disegerakkan sebagai boleh digunakan pada peranti baharu melalui penyedia kunci laluan, manakala kunci laluan terikat peranti kekal pada satu peranti atau kunci keselamatan. WebAuthn Level 3 mentakrifkan kelayakan sandaran dan keadaan sandaran; NIST menyediakan panduan untuk pengesah yang boleh disegerakkan.
Jawapan yang mantap membezakan pengalaman pengguna, pemulihan akaun, kitaran hayat perusahaan, kepercayaan penyedia dan tindakan berjaminan tinggi. Mereka tidak menyamakan penyegerakan dengan "tidak selamat" atau pengikatan peranti dengan "tiada pemulihan diperlukan."
Jawapan 30 saat
"Kedua-duanya boleh menyediakan pengesahan kunci awam yang tahan pancingan data (phishing), tetapi kelayakan yang disegerakkan meningkatkan pemulihan berbilang peranti manakala kelayakan terikat peranti sesuai dengan dasar yang memerlukan ciri tidak boleh disalin dan kawalan perkakasan berpusat. Saya akan membahagikan dasar mengikut peringkat: kunci laluan disegerakkan untuk log masuk biasa, kelayakan terikat peranti atau perkakasan tambahan untuk pentadbir dan tindakan bernilai tinggi. Pelayan menyimpan ID kelayakan, kunci awam, sifat sandaran dan status, tetapi menganggap sifat tersebut sebagai isyarat dasar dan bukannya bukti mutlak. Berbilang kelayakan, pembatalan dan pemulihan yang diaudit adalah wajib."
Analisis langkah demi langkah
Langkah 1: Takrifkan dua jenis kelayakan
Kunci laluan yang disegerakkan boleh dienkripsi dan disegerakkan oleh platform atau penyedia kepada peranti berdaftar pengguna. Kunci laluan terikat peranti mengekalkan kunci persendirian pada satu peranti atau kunci keselamatan perkakasan. Jaminan sebenar bergantung pada platform, pengesahan pengguna (user verification) dan dasar; label itu sahaja tidak mencukupi.
Langkah 2: Tingkatkan mengikut ancaman dan jaminan
Log masuk pengguna biasa sering mementingkan pemulihan dan penggunaan berbilang peranti. Pentadbir, kelulusan kewangan, pengurusan kunci dan transaksi bernilai tinggi mengutamakan sifat tidak boleh disalin, pengurusan peranti dan offboarding. Benarkan pengesahan biasa menggunakan kelayakan yang disegerakkan manakala tindakan sensitif memerlukan kelayakan terikat peranti atau pengesahan bertingkat (step-up).
Langkah 3: Fahami medan bahagian pelayan
Rekod WebAuthn merangkumi ID kelayakan, kunci awam, maklumat berkaitan tandatangan, serta sifat kelayakan dan keadaan sandaran. Pelayan boleh menggunakannya untuk dasar dan audit, tetapi tidak boleh menganggap keadaan sandaran sebagai inventori lengkap peranti fizikal pengguna. Pengesahan teras masih memeriksa challenge, origin, RP ID, signature dan user verification.
Langkah 4: Reka bentuk pendaftaran dan berbilang kelayakan
Benarkan berbilang kelayakan dan paparkan masa penciptaan, label peranti serta penggunaan terkini. Peranan berisiko tinggi harus mendaftarkan kelayakan utama dan kelayakan sandaran yang terkawal. Mendaftarkan kelayakan baharu harus memerlukan pengesahan berjaminan tinggi sedia ada supaya sesi yang dicuri tidak boleh mengikat peranti penyerang secara senyap.
Langkah 5: Bina pemulihan dan pembatalan
Kehilangan kelayakan terikat peranti boleh melucutkan akses, jadi kelayakan kedua atau pemulihan manual yang lebih kukuh adalah perlu. Kelayakan yang disegerakkan mengurangkan geseran pertukaran peranti tetapi meletakkan sebahagian kepercayaan pemulihan dan penyegerakan pada penyedia. Pemulihan harus menghasilkan notis, tempoh bertenang (cooling period) atau kelulusan serta menyokong pembatalan kelayakan lama.
Langkah 6: Kendalikan tadbir urus perusahaan
Organisasi perlu mengetahui peranan mana yang menggunakan jenis kelayakan apa, sama ada akaun penyegerakan peribadi dibenarkan dan cara offboarding membatalkan akses. Pengurusan peranti, dasar penyedia identiti dan konfigurasi WebAuthn RP mesti berfungsi bersama; butang frontend sahaja bukanlah tadbir urus.
Langkah 7: Berhijrah secara progresif dan kekalkan keserasian
Benarkan kedua-dua jenis pada peringkat awal dan ukur pendaftaran, kejayaan, pemulihan serta sokongan. Tetapkan tarikh akhir untuk peranan berisiko tinggi dan bimbing pengguna biasa. Jangan buang kata laluan atau MFA legasi sehingga pemulihan dan pengesanan anomali stabil dalam persekitaran sebenar.
Langkah 8: Sahkan hasil keselamatan dan pengalaman
Hasil keselamatan merangkumi pengambilalihan akaun melalui pancingan data, pengikatan kelayakan tidak normal, penyalahgunaan pemulihan dan kependaman pembatalan. Hasil pengalaman merangkumi kejayaan log masuk, kejayaan merentas peranti, penyelesaian pendaftaran, masa pemulihan peranti yang hilang dan tiket sokongan. Segmentasikan mengikut peranan, platform dan wilayah.
Pertukaran, sempadan dan penambahan maklumat
Kelayakan yang disegerakkan mengurangkan risiko kehilangan dan kos pertukaran peranti tetapi meningkatkan kebergantungan pada penyedia, pemulihan akaun dan dasar perusahaan. Kelayakan terikat peranti meningkatkan ciri tidak boleh disalin tetapi memerlukan peranti sandaran, pengeluaran, inventori dan operasi pemulihan. Jaminan tinggi tidak bermakna setiap pengguna mesti mengorbankan kebolehgunaan (usability).
Kelayakan atau keadaan sandaran membantu keputusan dasar tetapi bukan fakta fizikal yang boleh disahkan sepenuhnya. Penyegerakan tidak bermakna kunci persendirian dihantar dalam teks biasa; bezakan jaminan pelaksanaan daripada model ancaman produk.
Model jawapan berkualiti tinggi
"Saya akan membahagikan kunci laluan mengikut tahap risiko kepada jenis yang disegerakkan dan terikat peranti. Kedua-duanya menggunakan pengesahan kunci awam WebAuthn dan boleh menentang pancingan data biasa, manakala kelayakan yang disegerakkan sesuai untuk pemulihan berbilang peranti biasa dan kelayakan terikat peranti sesuai untuk pentadbir, pengurusan kunci serta tindakan bernilai tinggi.
Pelayan menyimpan ID kelayakan, kunci awam, sifat sandaran dan status, serta mengesahkan challenge, origin, RP ID dan pengesahan pengguna. Sifat sandaran memaklumkan dasar dan audit tetapi bukan inventori peranti yang lengkap. Sokong berbilang kelayakan dan wajibkan sandaran terkawal untuk pengguna berisiko tinggi. Pemulihan, pendaftaran dan pembatalan memerlukan notis, kelulusan atau tempoh bertenang. Lakukan penghijrahan secara selari terlebih dahulu, kemudian gunakan metrik pengambilalihan, pemulihan, log masuk dan sokongan untuk meningkatkan penguatkuasaan."
Kesilapan lazim
- Menyatakan kunci laluan yang disegerakkan tidak selamat. Bincangkan penyegerakan penyedia, pemulihan dan model ancaman perusahaan.
- Mengatakan kelayakan terikat peranti tidak memerlukan pemulihan. Kehilangan satu-satunya kelayakan akan menyebabkan pengguna terkunci daripada akaun.
- Menganggap satu medan sandaran sebagai inventori peranti. Pelayan tidak boleh membuat kesimpulan tentang setiap salinan fizikal.
- Mendaftarkan kelayakan baharu tanpa pengesahan sedia ada. Sesi yang dicuri boleh mengikat peranti penyerang.
- Menggunakan satu dasar untuk setiap peranan. Pentadbir dan pengguna biasa mempunyai keperluan jaminan yang berbeza.
- Memadam kata laluan dan MFA legasi dengan serta-merta. Laluan pemulihan yang belum diuji akan mewujudkan situasi pengguna terkunci secara besar-besaran.
- Mengabaikan offboarding dan akaun penyegerakan peribadi. Pembatalan dan pematuhan menjadi mustahil untuk dikuatkuasakan.
- Hanya mengukur kejayaan log masuk. Pemulihan, pembatalan dan pengikatan tidak normal adalah hasil keselamatan yang kritikal.
Soalan susulan dan jawapan
Adakah kunci laluan yang disegerakkan masih tahan pancingan data?
Dalam aliran WebAuthn yang dilaksanakan dengan betul, tandatangan kekal terikat pada origin dan RP ID. Penyegerakan mengubah kemudahalihan dan kepercayaan pemulihan; ia tidak menghapuskan pengikatan asal (origin binding).
Bilakah anda mesti menggunakan kunci laluan terikat peranti?
Apabila dasar memerlukan ciri tidak boleh disalin, perusahaan boleh mengurus perkakasan dan bersedia menerima kos pengeluaran serta pemulihan, seperti untuk pentadbir utama (super-admin), pengurusan kunci atau kelulusan bernilai tinggi. Sentiasa simpan kelayakan kedua.
Bagaimanakah pelayan mengetahui bahawa pengguna telah menukar peranti?
Rekod kelayakan, sifat sandaran dan peristiwa pengesahan memberikan isyarat, tetapi bukan inventori peranti yang lengkap. Log pengurusan peranti dan penyedia identiti boleh menambah bukti.
Berapakah bilangan kelayakan yang patut ada pada sesuatu akaun?
Tetapkan had mengikut risiko dan kapasiti sokongan, di samping memastikan peranan berisiko tinggi mempunyai kelayakan utama dan sandaran. Setiap tindakan penambahan, pemadaman dan pemulihan memerlukan notis dan audit.
Bolehkah kelayakan yang disegerakkan digunakan untuk log masuk dan kelayakan terikat peranti untuk tindakan sensitif?
Ya. Ini ialah dasar bertingkat yang lazim. Tindakan sensitif harus meminta semula kelayakan yang sesuai dalam sesi yang sama dan mempunyai laluan pemulihan yang jelas.