Behandel 'n geheime rekeningnommer as 'n geloofsbrief: oudit dit

'n Veld met die etiket rekeningnommer is nie outomaties 'n openbare verwysing nie, en die etiket is nie die toets nie. Die toets is wat besit toelaat: as die ken van die nommer iemand aanmeld, 'n verbindingsprofiel aflaai of 'n toestel magtig, is daardie nommer 'n geloofsbrief met 'n lewensiklus. Ek voer die vyf kontroles hieronder uit elke keer wanneer 'n diens 'n numeriese identiteit uitreik en dit onskadelik noem. Elkeen lewer 'n reël in 'n kort verslag, en die verslag is die leweringsitem, nie 'n uitspraak oor die produk nie.

Inventariseer wat besit werklik verleen

Skryf elke aksie wat die nommer ontsluit afsonderlik neer. Aanmelding by 'n portaal, die verkryging van 'n konfigurasielêer, die magtiging van 'n nuwe toestel en die verskaffing van 'n aanvaarde tonnelaanmelding is verskillende bevoegdhede, en 'n diens kan een implementeer sonder die ander. 'n Portaal wat die nommer as die enigste veld aanvaar, sê niks oor hoe die tonnel sy eweknie authentiseer later of hoe verkeersleutels afgelei word nie.

Die algemene model is maklik om te stel: 'n bearer-geloofsbrief is een wat die houer kan gebruik sonder om besit van 'n aparte kriptografiese sleutel te bewys, en dit is die onderskeid wat RFC 6750 vir tekens trek. Dit is 'n vergelyking, nie 'n bewering dat 'n nommergebaseerde diens OAuth implementeer nie. As die houer niks anders nodig het nie, behandel die nommer as 'n bearer-geheim en klassifiseer die res van die ontwerp dienooreenkomstig.

Beskerm dit as 'n geheim, nie as 'n verwysing nie

Berging volg uit die klassifikasie. 'n Waarde wat aanmeld, hoort in 'n wagwoordbestuurder, nie in 'n skermkiekie, 'n knipbordgeskiedenis, 'n kletsboodskap of 'n blaaiernota nie. Skermkiekies is die gewone lek: die nommer is kort en lyk onskadelik, so dit beland in 'n ondersteuningsdraad wat die toestel waaruit dit gekom het, oorleef.

Fishing is die ander foutmodus, en dit gee nie om hoe ewekansig die nommer is nie. 'n Bedrieër wat die waarde wil hê, sal jou vra om dit in 'n vorm te plak, en 'n geloofsbrief wat nooit verval nie en geen tweede faktor het nie, is die moeite werd. Bereik die aanmeldroete via 'n boekmerk of 'n bekende adres, nie via 'n skakel in 'n boodskap wat ook om die nommer vra nie.

Behandel herstel materiaal as deel van die geheim. As die operateur ook 'n herstelkode, 'n PIN of 'n e-posadres uitgereik het wat die rekening kan herstel, is dit afsonderlike geloofsbriewe met dieselfde beskermingsvereiste. Een onbeskermde herstelkanaal maak elke ander beheer 'n versiering.

Kontroleer raaisyferweerstand en tempobeperking saam

Lengte is net betekenisvol naas die genereringsmetode. 'n Lang nommer uit 'n voorspelbare reeks is swakker as 'n kort waarde uit 'n kriptografiese generator, en 'n indrukwekkende syfertelling bewys nie onvoorspelbaarheid nie. Vra hoe die waarde gegenereer word voordat jy redeneer oor hoe moeilik dit is om te raai.

Raisyferweerstand alleen oorleef ook nie 'n onbeperkte pogingstempo nie. Die kontroles wat saak maak, is dié wat die operateur implementeer: tellers vir mislukte pogings, sluitings, beperking per bron en of 'n verkeerde nommer van 'n nie-bestaande een onderskei kan word. As die diens dit ondersteun, wys een mislukte poging hoe die fout lyk en of 'n herprobeerteller verskyn:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

Teken aan wat die antwoord openbaar. 'n Afsonderlike fout vir 'n onbekende rekening is 'n enumerasie-orakel selfs wanneer die nommer onraaibaar is, en daardie bevinding hoort in die verslag, of jy dit aan die kliëntekant kan regstel of nie.

Beplan rotasie en herroeping voordat jy dit nodig het

Vind die ondersteunde prosedure vir 'n verlore of blootgestelde nommer en skryf dit neer terwyl alles werk. Kan die rekening se geloofsbrief hoegenaamd vervang word? Maak vervanging reeds geregistreerde toestelle, aktiewe sessies of afgelaaide konfigurasie ongeldig? Watter herstel materiaal vereis die prosedure? 'n Diens sonder e-posafhanklikheid kan meer herstelverantwoordelikheid na die gebruiker skuif, wat die prosedure belangriker maak, nie minder nie.

Skei rekeningvervanging van geloofsbriefherroeping. As die nommer die aflaai van 'n sleutel, sertifikaat of profiel magtig, kan die vervanging van die nommer daardie afgelaaide materiaal geldig laat, en die herroeping van die afgelaaide materiaal kan 'n ander bewerking met 'n ander eienaar wees. Moenie aanneem dat een veranderde veld elke verbinding beëindig nie; kontroleer die operateur se werklike model en teken aan waar jy dit geverifieer het.

Dokumenteer die besluit en hersien dit later

Hou 'n eenbladsy-verslag per diens: watter bevoegdhede die nommer verleen, waar dit gestoor word, wie dit kan herstel, watter bewyse van gebruik bestaan en wat jy in die eerste uur ná openbaarmaking sal doen. Daardie verslag is wat 'n argument oor terminologie verander in 'n besluit wat iemand kan oudit.

Privaatheidsbewerings het hul eie omvang nodig. 'n Ewekansig gegenereerde nommer kan steeds 'n stabiele identifiseerder wees wat rekeninggebeurtenisse oor tyd verbind; onvoorspelbaarheid is nie onkoppelbaarheid nie, en nie een van die eienskappe sê iets oor bewaarde netwerkmetadata nie. Vergelyk volledige ontwerpe eerder as om velde op 'n aanmeldskerm te tel.

Voordat jy dit aanteken:

• Elke bevoegdheid wat die nommer verleen, is gelys, insluitend aflaaie en toestelmagtiging.
• Bergings- en herstelkanale word aan dieselfde standaard beskerm as die nommer self.
• Die genereringsmetode en tempobeperkings is bekend, nie uit lengte aanvaar nie.
• Daar bestaan 'n vervangingsprosedure en 'n herroepingsprosedure, en jy weet watter een watter een kanselleer.
• Die verslag noem wie die waarde kan herstel en watter bewyse ná gebruik oorbly.