Parooliga e-kiri tõendab pööratavust, mitte skeemi

Teenus, mis saadab kasutaja praeguse parooli e-postiga, on tõestanud üht: see suudab selle saladuse hankida kujul, mille saab saata. See ei ole tõestanud, milline veerg, algoritm või teek selle tekitas. Vahe on oluline, sest leid on tegelik ja järeldus, mille inimesed sellest teevad, on tavaliselt liiga konkreetne. Pööratavus kuskil teel on mehhanism; oletatud salvestusvorming ei ole.

Hoidke tõendid sellel tasandil ja ülejäänud ülevaade jääb täpseks.

Mida vana saladuse tagasisaatmine tõestab

Ühesuunaline kontrollija ei saa algset parooli luua, sest see projekteeriti mittepööratavaks. Kui teenus saab parooli e-postiga saata, siis sel hetkel hoiab see materjali, millest parooli saab taastada, või püüab kinni ja salvestab lihtteksti enne räsimist. Mõlemal juhul on taastamistee pööratav ja see on tõeline turvaleid. See ei ütle midagi selle kohta, kas sama andmebaas kasutab teiste veergude jaoks kallist räsi.

Pöörake tähelepanu ka vahejuhtumile: rakenduse käes oleva võtmega salvestatud krüpteeritud blob on praktikas pööratav, kuigi sõna krüpteeritud kõlab aruandes rahustavalt.

Miks see on disainileid, mitte salvestuskaart

E-kiri tõendab taastatavust ega tuvasta täpset skeemi. See võib olla lihttekst, deterministlik krüpteerimine, tarnija hägustamisrutiin või eraldi identimisandmete hoidla, mida kasutatakse ainult taastamiseks. Toote erinevad osad kasutavad sageli erinevat salvestust. Ühe e-kirja põhjal algoritmi omistamine on selline väide, mis järgmisel koosolekul kokku variseb.

Öelda saab kitsamalt ja kasulikumalt: see tee suudab saladuse taastada, seega ei saa toode väita, et taastatavaid identimisandmeid ei ole. Kõik muu nõuab operaatori tõendeid.

Ehitage lähtestamine autoriseerimise ümber

Lähtestamine lahendab teise probleemi: tõestada, et taotleja tohib valida uue parooli. OWASPi juhised selle kohta kirjeldavad turvaliselt genereeritud ühekordseid märgiseid või koode sobiva aegumisega ning käsitlevad taotluse etappi millegi sellisena, mida tuleb kaitsta loendamise ja üleujutuse eest. Autentimata taotlus ei tohi kontot iseenesest muuta. Valideerige autoriseerimine enne asenduse vastuvõtmist ja muutke märgis pärast üht edukat kasutust kasutuskõlbmatuks.

E-posti kanal on turvamudeli osa. Konto nime omamine ei tõesta midagi ja lähtestamisvoog, mis paljastab, kas konto on olemas, annab ründajale kataloogi, millega töötada.

Tühistage see, mida parool kaitses

Parooli muutmine ei lõpeta automaatselt juurdepääsu, mille see andis. Aktiivsed VPN-seansid, meelde jäetud seadmed ja serveri väljastatud märgised võivad igaüks omada oma tühistamiskäitumist. Otsustage teadlikult, millised neist peavad lõppema, ja kontrollige, et teostus seda teeb, sest kasutaja, kes eeldab, et lähtestamine logis ta kõikjal välja, eksib sageli. Kirjutage see otsus voo juurde.

Operaatoritele: dokumenteerige, milline komponent taotlust kontrollib, milline identimisandmeid muudab ja kuidas seotud seansse käsitletakse. Kasutajatele: kaitske seaduslikku taastamiskanalit ja käsitlege iga sõnumit, mis tagastab parooli, kahtlasena.

Täpne hinnang on lühike: mida sõnum tõestab, mis jääb teadmata ja kas taastamine asendab juurdepääsu kontrollitud protsessiga.