Старонка змены пароля VPN: адпаведнасць сховішчу ідэнтычнасці

Адкрыйце старонку змены пароля і прачытайце яе так, як гэта зрабіў бы карыстальнік, а затым спытайце, якая служба насамрэч валодае ўліковымі данымі. Старонка — гэта форма; сховішча ідэнтычнасці — гэта ўлада. Калі яны разыходзяцца, карыстальнік сутыкаецца з адхіленым паролем, скідам, які нічога не скідвае, або паведамленнем аб поспеху, якое нічога не змяняе. Праходжанне патоку ад экрана да бэкенда — адзіны спосаб гэта выявіць.

Пачніце з класіфікацыі аперацыі: звычайная змена, паток з пратэрмінаваным паролем або аднаўленне пасля забытага пароля.

Тры аперацыі, тры працэсы

Звычайная змена мяркуе, што карыстальнік ведае бягучы пароль і можа гэта даказаць. Паток з пратэрмінаваным паролем можа дазваляць абмежаваную сесію, у якой дазволена толькі змена. Аднаўленне пасля забытага пароля патрабуе зусім іншага доказа ідэнтычнасці, і яно можа быць перададзена пастаўшчыку ідэнтычнасці, а не апрацавана на шлюзе VPN. Кожная мае свой канчатковы пункт, падтрымку бэкенда і правілы сесіі, і адна форма не можа правільна абслугоўваць усе тры.

У федэратыўным разгортванні шлюз можа зусім не збіраць новы пароль. Праверце, ці перанакіроўвае паток да пастаўшчыка ідэнтычнасці і ці тэкст старонкі ўсё яшчэ апісвае лакальную форму.

Адкуль насамрэч бярэцца палітыка

Спытайце ўладальніка ідэнтычнасці пра дазволеную даўжыню, набор сімвалаў і любыя прымяняльныя абмежаванні, затым напішыце інструкцыі, якія ім адпавядаюць. Выдумванне правілаў саставу ў тэксце дапамогі або абяцанне прыняцця, якое бэкенд адхіляе, — і тое і другое стварае звароты ў падтрымку. Кіраўніцтва NIST па лічбавай ідэнтычнасці схіляецца да ясных указанняў і карыснай зваротнай сувязі замест адвольных правілаў, а рэальная палітыка арганізацыі па-ранейшаму галоўная. Публікацыя не з'яўляецца доказам таго, што пэўны каталог ужо паводзіць сябе так.

Рабіце паведамленні пра памылкі карыснымі, не выдаючы сакрэтаў. Паведамленне, якое адлюстроўвае часткова ўведзены пароль, або здымак экрана ў звароце, які ўтрымлівае яго, ператвараюць артэфакт падтрымкі ў выкрыццё ўліковых даных.

Фармулёўкі, што адпавядаюць бэкенду

Старонка павінна называць працэс, а не апісваць палітыку ў абстракцыі. Скажыце, дзе адбываецца змена, які доказ патрабуецца і што адбываецца з іншымі сесіямі. Калі змена выходзіць карыстальніка ўсюды, скажыце пра гэта; калі яна пакідае іншыя прылады актыўнымі, таксама скажыце. Збянтэжаны карыстальнік, які паўтарае ўдалую змену, — гэта выдатак на падтрымку, якога лепшая фармулёўка пазбягае.

Лакалізацыя можа змяніць тон інструкцый; яна не можа змяніць тое, што прымае бэкенд.

Тэстуйце паток, а не старонку

Выкарыстайце дазволены тэставы ўліковы запіс і прайдзіце задокументаваную змену, выпадак адхілення, выпадак пратэрмінаванага пароля і наступны ўваход. Калі MFA або федэратыўнае перанакіраванне з'яўляюцца часткай зацверджанага патоку, прайдзіце і іх. Старонка, якая адлюстроўваецца правільна, правярае прэзентацыю і нічога больш, бо служба ідэнтычнасці вырашае, ці завершана аперацыя з уліковымі данымі.

Запішыце вынік кожнага выпадку разам з выкарыстаным уліковым запісам і часам. Паток, які адзін раз працуе для адміністратара і не працуе для звычайнага карыстальніка, — тыповы вынік, і менавіта запіс робіць гэта бачным.

Затым абнавіце старонку, каб апісаць тое, што насамрэч адбылося. Гэта ўся задача.