গোপন অ্যাকাউন্ট নম্বরকে প্রমাণপত্র হিসেবে দেখুন: এটি অডিট করুন

অ্যাকাউন্ট নম্বর লেবেলযুক্ত ক্ষেত্র স্বয়ংক্রিয়ভাবে প্রকাশ্য রেফারেন্স নয়, এবং লেবেল পরীক্ষা নয়। পরীক্ষা হলো দখল কী অনুমতি দেয়: যদি নম্বর জানা কাউকে সাইন ইন করায়, একটি সংযোগ প্রোফাইল ডাউনলোড করে বা একটি ডিভাইস অনুমোদন করে, তবে সেই নম্বরটি জীবনচক্রসহ প্রমাণপত্র। কোনো সেবা সংখ্যাগত পরিচয় দিয়ে এটিকে নিরীহ বললে আমি নিচের পাঁচটি পরীক্ষা করি। প্রতিটি একটি সংক্ষিপ্ত রেকর্ডে এক লাইন তৈরি করে, এবং রেকর্ডটিই ফলাফল, পণ্য সম্পর্কে রায় নয়।

দখল আসলে কী দেয় তার তালিকা করুন

নম্বর যে প্রতিটি কাজ খোলে তা আলাদাভাবে লিখুন। পোর্টালে সাইন ইন, কনফিগারেশন ফাইল আনা, নতুন ডিভাইস অনুমোদন এবং গৃহীত টানেল সাইন ইন প্রদান ভিন্ন কর্তৃত্ব, এবং সেবা একটি অন্যগুলো ছাড়া বাস্তবায়ন করতে পারে। যে পোর্টাল নম্বরকে একমাত্র ক্ষেত্র হিসেবে গ্রহণ করে তা এই বিষয়ে কিছু বলে না যে টানেল কীভাবে তার সমকক্ষকে প্রমাণায়ন করে পরে, বা ট্রাফিক কী কীভাবে উদ্ভূত হয়।

সাধারণ মডেল বলা সহজ: bearer প্রমাণপত্র হলো যা ধারক আলাদা ক্রিপ্টোগ্রাফিক কী-এর দখল প্রমাণ না করেই ব্যবহার করতে পারে, এবং এটিই সেই পার্থক্য যা RFC 6750 টোকেনের জন্য টানে। এটি তুলনা, সেবা OAuth বাস্তবায়ন করে এমন দাবি নয়। যদি ধারকের আর কিছু না লাগে, নম্বরকে bearer গোপন হিসেবে দেখুন এবং বাকি নকশা সেই অনুযায়ী শ্রেণিবদ্ধ করুন।

এটিকে রেফারেন্সের মতো নয়, গোপনীয়তার মতো রক্ষা করুন

সংরক্ষণ শ্রেণিবিন্যাস থেকে আসে। সাইন ইন করানো মান পাসওয়ার্ড ব্যবস্থাপকায় থাকে, স্ক্রিনশট, ক্লিপবোর্ড ইতিহাস, চ্যাট বার্তা বা ব্রাউজার নোটে নয়। স্ক্রিনশট সাধারণ ফাঁস: নম্বরটি ছোট এবং নিরীহ দেখায়, তাই এটি যে ডিভাইস থেকে এসেছে তার চেয়ে বেশি দিন বাঁচা সহায়তা থ্রেডে পৌঁছে যায়।

ফিশিং দ্বিতীয় ব্যর্থতার ধরন, এবং নম্বর কতটা এলোমেলো তা নিয়ে তার মাথাব্যথা নেই। যে প্রতারক মানটি চায় সে আপনাকে এটি একটি ফর্মে পেস্ট করতে বলবে, এবং যে প্রমাণপত্র কখনও মেয়াদোত্তীর্ণ হয় না ও দ্বিতীয় উপাদান নেই তা চেষ্টার যোগ্য। সাইন ইন পথে বুকমার্ক বা পরিচিত ঠিকানা দিয়ে পৌঁছান, যে বার্তার লিঙ্কে নম্বরও চাওয়া হয় সেটি দিয়ে নয়।

পুনরুদ্ধার উপাদানকে গোপনীয়তার অংশ হিসেবে দেখুন। যদি অপারেটর পুনরুদ্ধার কোড, PIN বা এমন ইমেইল ঠিকানা দেয় যা অ্যাকাউন্ট রিসেট করতে পারে, তবে সেগুলো আলাদা প্রমাণপত্র যাতে একই সুরক্ষা শর্ত প্রযোজ্য। একটি অসুরক্ষিত রিসেট চ্যানেল বাকি সব নিয়ন্ত্রণকে সাজসজ্জা বানায়।

অনুমান প্রতিরোধ ও হার সীমা একসাথে পরীক্ষা করুন

দৈর্ঘ্য শুধু উৎপাদন পদ্ধতির পাশে অর্থবহ। পূর্বানুমানযোগ্য ক্রম থেকে তৈরি লম্বা নম্বর ক্রিপ্টোগ্রাফিক জেনারেটর থেকে আসা ছোট মানের চেয়ে দুর্বল, এবং চিত্তাকর্ষক অঙ্কসংখ্যা অপ্রত্যাশিততা প্রমাণ করে না। মান কীভাবে তৈরি হয় জিজ্ঞাসা করুন, এটি অনুমান করা কত কঠিন তা ভাবনার আগে।

শুধু অনুমান প্রতিরোধও অসীম প্রচেষ্টার হারের সামনে টেকে না। গুরুত্বপূর্ণ নিয়ন্ত্রণগুলো অপারেটর যেগুলো প্রয়োগ করে: ব্যর্থ প্রচেষ্টার কাউন্টার, লকআউট, উৎসভিত্তিক থ্রটলিং, এবং ভুল নম্বর অনুপস্থিত থেকে আলাদা করা যায় কি না। যদি সেবা এটি সমর্থন করে, একটি ব্যর্থ প্রচেষ্টা দেখায় ত্রুটি কেমন এবং পুনরায় প্রচেষ্টার কাউন্টার দেখা যায় কি না:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

প্রতিক্রিয়া কী প্রকাশ করে তা রেকর্ড করুন। অজানা অ্যাকাউন্টের জন্য আলাদা ত্রুটি গণনার ওরাকল, এমনকি যখন নম্বর অনুমান করা অসম্ভব, এবং এই পর্যবেক্ষণ রেকর্ডের অংশ, আপনি ক্লায়েন্ট দিক থেকে ঠিক করতে পারলেও।

ঘূর্ণন ও বাতিলের পরিকল্পনা প্রয়োজন হওয়ার আগেই করুন

হারানো বা প্রকাশিত নম্বরের জন্য সমর্থিত প্রক্রিয়া খুঁজুন এবং সবকিছু চলাকালীন লিখুন। অ্যাকাউন্টের প্রমাণপত্র কি আদৌ প্রতিস্থাপনযোগ্য? প্রতিস্থাপন কি ইতিমধ্যে তালিকাভুক্ত ডিভাইস, সক্রিয় সেশন বা ডাউনলোড করা কনফিগারেশন বাতিল করে? প্রক্রিয়াটি কোন পুনরুদ্ধার উপাদান দাবি করে? ইমেইলের ওপর নির্ভরতাহীন সেবা ব্যবহারকারীর ওপর বেশি পুনরুদ্ধার দায়িত্ব দিতে পারে, যা প্রক্রিয়াটিকে আরও গুরুত্বপূর্ণ করে, কম নয়।

অ্যাকাউন্ট প্রতিস্থাপনকে প্রমাণপত্র বাতিল থেকে আলাদা রাখুন। যদি নম্বর কোনো কী, সার্টিফিকেট বা প্রোফাইল ডাউনলোডের অনুমোদন দেয়, নম্বর প্রতিস্থাপন সেই ডাউনলোড করা উপাদান বৈধ রেখে দিতে পারে, এবং ডাউনলোড করা উপাদান বাতিল করা ভিন্ন মালিকের ভিন্ন কাজ হতে পারে। একটি পরিবর্তিত ক্ষেত্র প্রতিটি সংযোগ শেষ করে ভাববেন না; অপারেটরের প্রকৃত মডেল যাচাই করুন এবং কোথায় যাচাই করেছেন লিখুন।

সিদ্ধান্ত নথিভুক্ত করুন এবং পরে আবার যাচাই করুন

প্রতিটি সেবার জন্য এক পৃষ্ঠার রেকর্ড রাখুন: নম্বর কোন কর্তৃত্ব দেয়, কোথায় সংরক্ষিত, কে রিসেট করতে পারে, ব্যবহারের কী প্রমাণ আছে এবং প্রকাশের পর প্রথম ঘণ্টায় আপনি কী করবেন। এই রেকর্ডই পরিভাষার বিতর্ককে এমন সিদ্ধান্তে বদলায় যা কেউ অডিট করতে পারে।

গোপনীয়তার দাবির নিজস্ব পরিধি দরকার। এলোমেলোভাবে তৈরি নম্বর এখনও একটি স্থির শনাক্তকারী হতে পারে যা সময়ের সাথে অ্যাকাউন্ট ইভেন্ট সংযুক্ত করে; অপ্রত্যাশিততা অ-সংযোগ নয়, এবং কোনো বৈশিষ্ট্যই সংরক্ষিত নেটওয়ার্ক মেটাডেটা সম্পর্কে কিছু বলে না। সম্পূর্ণ নকশা তুলনা করুন, সাইন ইন স্ক্রিনের ক্ষেত্র গোনার বদলে।

এটি নথিভুক্ত করার আগে:

• নম্বর যে সব কর্তৃত্ব দেয় তা তালিকাভুক্ত, ডাউনলোড ও ডিভাইস অনুমোদনসহ।
• সংরক্ষণ ও পুনরুদ্ধার চ্যানেল সেই মানদণ্ডে সুরক্ষিত যেটিতে নিজে নম্বর।
• উৎপাদন পদ্ধতি ও হার সীমা জানা, দৈর্ঘ্য থেকে অনুমান করা নয়।
• প্রতিস্থাপন প্রক্রিয়া ও বাতিল প্রক্রিয়া আছে, এবং কোনটি কোনটি বাতিল করে তা জানেন।
• রেকর্ড বলে কে মান রিসেট করতে পারে এবং ব্যবহারের পর কী প্রমাণ থাকে।