Cep telefonunun yasaklanması nedeniyle: Okullar, 2 faktöre doğru kimlik doğrulamasını ortadan kaldırır

“Son haftalarda, tehlikeye atılan öğrencilerin hesaplarında endişe verici bir artış gördük” 81 devlet okulu Portland, Oregons (Portland Devlet Okulu, PPS) yazıyor “, saldırganlar onlara erişiyor ve bunları tüm dünyada binlerce kimlik avı ve sahtekarlık göndermek için kullanıyorlar.” Soruna alışılmadık bir çözüm: “Öğrenciler artık Google hesapları için çok faktörlü kimlik doğrulama (MFA) ayarlayamayacaklar”.

Şaka yok. PPS, Haberler'i çevrimiçi olarak genelgenin özgünlüğünü doğruladı, ama bence: “Tamamen MFA yapmıyoruz. Başka bir platforma geçelim.” Kulağa hoş geliyor, ama bir Potemkinsches köyü olduğu ortaya çıkıyor. Yeni “MFA” değil ve önlem Google hesaplarını korumuyor.

Classink okul ortamına erişimi de açan Chromebook'larına Google hesaplarına erişmek yerine, prosedür sunulur: Çocuklar Classink'e erişmeli ve hesaplarına Gmail, Google Drive ve CO'ya ulaşabilmeleri için Hesaplarını Google ile bağlamalıdır. Teorik olarak, Classink iki faktörlü kimlik doğrulama (2FA, bir MFA biçimi) sunar: Authenticator (TOTP), Key (Yubikey) uygulamasını veya tek tek bileşenlerin obsoiver yöntemi kullanma.

2FA Yanlış

Okul yönetimi bu MFA yöntemlerinden sadece birini kullanır. Aksine, kullanıcı adı ve şifreye ek olarak öğrencilere (“kuvvetle teşvik ediyoruz”), erişim sırasında sorgulanan altı şekil pimi (küçük çocuklarda bir resim) seçmenizi öneririz. Classink onu bir MFA gibi pazarlar, ama değil. Multifatif kimlik doğrulama, faktöre ek olarak (kullanıcı adı, şifre, pin/görüntü, tabanın kızının adı, UGRA, et cetera'nın doğum yeri), hafızadan bağımsız başka faktörler olması gerektiğine bağlı olduğundan.

Bu genellikle cep telefonu (Authenticator uygulaması), bir SIM kart (SMS) veya bir donanım anahtarı gibi bir cihazın bulundurulması olacaktır; Belirli yerlere veya ağlara kısıtlama da mümkün olacaktır, ancak çocuklar da uzaktan erişebilmelidir. Portland okullarında cep telefonları yasaktır ve öğrenciler için 44.000 yubikey (4-18 yaş) muhtemelen çok pahalıydı. Ayrıca, öğrenciler arasında küçük USB şeylerinin kaybı önemsiz olmaz.

Hata kim? Çocuklar!

Bu arada, okul yönetimine göre, çocuklar sefaletten sorumlu olmalıdır: genellikle diğer çevrimiçi hizmetler (yetersiz sigortalıların) için okullarının Google hesapları için şifreler kullandılar. Bu nedenle oraya takılan çekiciler Google'da edinilen erişim verilerini kullanacaktır.

Aksine, 2FA yardımcı olur. Ancak çocuklar cep telefonu veya yubikey eksikliği nedeniyle Googles 2FA kullanamadığından, bu savunma önlemini kullanmayın. Saldırganlar için bir parti: Yabancı Google hesabının 2FA'sına, örneğin tek başına demirlemeye erişir ve aktive ederler. Yetersiz Google desteği ile birlikte, bu, PPS'nin BT yöneticilerinin kaçırılmış Google hesaplarını kurtarmasını zorlaştırır.

Google hesaplarındaki 2FA işlevinin genel tutuklanması teslimiyet tarafından tanımlanır: Saldırganlar sakin bir şekilde gidebilir ve doğrudan Google'a erişebilir. 2FA'yı etkinleştiremediğiniz için daha hızlı kurtulursunuz. PR dökülmesinin bir ölçüsü olarak, sahte MFA pim veya görüntülerle havalandırılır. Genelgenin kendisi, gerçek MFA'nın işe yarayacağı görülebilir: “MFA ikilisi sayesinde çalışanların hesaplarıyla karşılaştırılabilir bir sorunumuz olmadığını belirtmek gerekir”.

(DS)