رسالة بريد إلكتروني بكلمة المرور تثبت قابلية الاسترجاع، لا مخططًا للتخزين

خدمة ترسل كلمة المرور الحالية للمستخدم بالبريد الإلكتروني أثبتت شيئًا واحدًا: أنها قادرة على الحصول على هذا السر في صيغة تستطيع إرسالها. لكنها لم تثبت أي عمود أو خوارزمية أو مكتبة أنتجته. والتمييز مهم لأن النتيجة حقيقية والاستنتاج الذي يستخلصه الناس منها عادةً أكثر تحديدًا مما ينبغي. فالقابلية للاسترجاع في مكان ما من المسار هي الآلية؛ أما تخمين صيغة التخزين فليس كذلك.

أبقِ الأدلة عند هذا المستوى، ويبقى بقية المراجعة دقيقًا.

ماذا يثبت إعادة إرسال السر القديم

لا يستطيع المدقق أحادي الاتجاه إنتاج كلمة المرور الأصلية، لأنه صُمم بحيث لا يكون قابلًا للعكس. وإذا كانت الخدمة تستطيع إرسال كلمة المرور بالبريد الإلكتروني، فهي في تلك اللحظة تحتفظ بمادة يمكن استعادة كلمة المرور منها، أو تعترض النص الصريح وتخزنه قبل التجزئة. وفي الحالتين يكون مسار الاستعادة قابلًا للعكس، وهذه نتيجة أمنية حقيقية. ولا يقول ذلك شيئًا عما إذا كانت قاعدة البيانات نفسها تستخدم تجزئة مكلفة لأعمدة أخرى.

انتبه أيضًا إلى الحالة الوسيطة: كتلة مشفرة مخزنة بمفتاح تحتفظ به التطبيق قابلة للعكس عمليًا، حتى لو بدت كلمة مشفرة مطمئنة في تقرير.

لماذا هذه نتيجة تصميم لا خريطة تخزين

تثبت الرسالة إمكانية الاستعادة ولا تحدد المخطط الدقيق. فقد يكون نصًا صريحًا، أو تشفيرًا حتميًا، أو روتين تمويه من مورّد، أو مخزن بيانات اعتماد منفصل يُستخدم للاستعادة فقط. وكثيرًا ما تستخدم أجزاء مختلفة من المنتج تخزينًا مختلفًا. وإن نسب خوارزمية بناءً على رسالة واحدة هو نوع الادعاء الذي ينهار في اجتماع متابعة.

ما يمكنك قوله أضيق وأنفع: هذا المسار قادر على استعادة السر، لذا لا يمكن للمنتج أن يدّعي عدم وجود بيانات اعتماد قابلة للاستعادة. وكل ما يتجاوز ذلك يحتاج إلى أدلة المشغّل.

ابنِ إعادة التعيين حول التفويض

إعادة التعيين تحل مشكلة مختلفة: إثبات أن مقدم الطلب يحق له اختيار كلمة مرور جديدة. وتصف إرشادات OWASP لهذا رموزًا أو أكوادًا تُولّد بأمان وتُستخدم مرة واحدة مع انتهاء صلاحية مناسب، وتعتبر مرحلة الطلب شيئًا يجب حمايته من التعداد والغمر. فلا يجوز لطلب غير موثّق أن يغيّر الحساب بمفرده. تحقّق من التفويض قبل قبول البديل، واجعل الرمز غير صالح للاستخدام بعد استخدام ناجح واحد.

قناة البريد الإلكتروني جزء من نموذج الأمان. فامتلاك اسم حساب لا يثبت شيئًا، ومسار إعادة تعيين يكشف ما إذا كان الحساب موجودًا يمنح المهاجم دليلًا يعمل عليه.

أبطل ما كانت كلمة المرور تحميه

تغيير كلمة المرور لا ينهي تلقائيًا الوصول الذي منحته. فجلسات VPN النشطة والأجهزة المتذكّرة والرموز التي يصدرها الخادم قد يكون لكل منها سلوك إبطال خاص. قرّر عن قصد أيها يجب أن ينتهي، وتحقق من أن التنفيذ يفعل ذلك، لأن المستخدم الذي يفترض أن إعادة التعيين سجّلت خروجه من كل مكان غالبًا ما يكون مخطئًا. سجّل ذلك القرار مع المسار.

للمشغّلين: وثّقوا أي مكوّن يتحقق من الطلب، وأي مكوّن يغيّر بيانات الاعتماد وكيف تُعالج الجلسات المرتبطة. وللمستخدمين: احموا قناة الاستعادة المشروعة وعاملوا أي رسالة تعيد كلمة مرور كأمر مشبوه.

التقييم الدقيق قصير: ما الذي تثبته الرسالة، وما الذي يبقى مجهولًا، وهل تستبدل الاستعادة الوصول عبر عملية مُحكمة.