Pasahitz-mezu batek itzulgarritasuna frogatzen du, ez eskema bat

Erabiltzaile baten uneko pasahitza postaz bidaltzen duen zerbitzu batek gauza bat frogatu du: sekretu hori bidal dezakeen forman lor dezakeela. Ez du frogatu zein zutabe, algoritmo edo liburutegik sortu zuen. Bereizketa garrantzitsua da, aurkikuntza erreala delako eta jendeak handik ateratzen duen ondorioa, oro har, zehaztegi handiegia delako. Bidearen nonbait itzulgarritasuna da mekanismoa; asmatutako biltegiratze-formatua ez.

Eduki itzazu frogak maila horretan, eta berrikuspenaren gainerakoa zehatza izaten jarraituko du.

Zer frogatzen du sekretu zaharra itzultzeak

Norabide bakarreko egiaztatzaile batek ezin du jatorrizko pasahitza sortu, ez baitzen inbertigarria izateko diseinatu. Zerbitzuak pasahitza postaz bidal badezake, une horretan pasahitza berreskura daitekeen materiala dauka, edo testu arrunta atzematen eta gordetzen du hash-a egin aurretik. Edozein kasutan, berreskuratze-bidea itzulgarria da, eta hori benetako segurtasun-aurkikuntza da. Ez du ezer esaten datu-base berak kostu handiko hash bat erabiltzen duen beste zutabe batzuetarako.

Kasu ertainari ere erreparatu: aplikazioak daukan gako batekin gordetako blob zifratua itzulgarria da praktikan, nahiz eta zifratu hitzak lasaigarri dirudien txosten batean.

Zergatik den diseinu-aurkikuntza, ez biltegiratze-mapa

Mezuak berreskuragarritasuna frogatzen du eta ez du eskema zehatza identifikatzen. Testu arrunta, zifratze determinista, hornitzaile baten lausotze-errutina edo berreskuratzeko soilik erabiltzen den kredentzial-biltegi bereizi bat izan daiteke. Produktu baten zati desberdinek biltegiratze desberdina erabiltzen dute sarritan. Mezu bakar batean oinarrituta algoritmo bat esleitzea hurrengo bileran erortzen den baieztapen mota da.

Esan dezakezuna estuagoa eta erabilgarriagoa da: bide honek sekretua berreskura dezake, beraz produktuak ezin du baieztatu kredentzial berreskuragarririk ez dagoenik. Horrez gain, guztiak operadorearen frogak behar ditu.

Eraiki berrezarpena baimenaren inguruan

Berrezarpenak beste arazo bat konpontzen du: eskatzaileak pasahitz berri bat aukeratzeko baimena duela frogatzea. OWASP-en orientabideek horretarako segurtasunez sortutako erabilera bakarreko tokenak edo kodeak deskribatzen dituzte, iraungitze egokiarekin, eta eskaera-etapa enumerazioaren eta gainezkaren aurka babestu beharreko zerbait bezala tratatzen dute. Autentifikatu gabeko eskaera batek ezin du kontua bere kabuz aldatu. Egiaztatu baimena ordezkapena onartu aurretik, eta egin tokena erabilezin erabilera arrakastatsu baten ondoren.

Mezu-kanala segurtasun-ereduaren parte da. Kontu-izen bat edukitzeak ez du ezer frogatzen, eta kontua existitzen den ala ez erakusten duen berrezarpen-fluxu batek erasotzaileari lan egiteko direktorio bat ematen dio.

Baliogabetu pasahitzak babesten zuena

Pasahitz bat aldatzeak ez du automatikoki amaitzen eman zuen sarbidea. VPN saio aktiboek, gogoratutako gailuek eta zerbitzariak igorritako tokinek bakoitzak bere baliogabetze-jokabidea izan dezakete. Erabaki nahita horietatik zeintzuk amaitu behar duten, eta egiaztatu inplementazioak hori egiten duela, berrezarpen batek nonahi saioa amaitu diola uste duen erabiltzailea sarritan oker baitago. Erregistratu erabaki hori fluxuarekin batera.

Operadoreentzat: dokumentatu zein osagai egiaztatzen duen eskaera, zeinek aldatzen duen kredentziala eta nola kudeatzen diren erlazionatutako saioak. Erabiltzaileentzat: babestu berreskuratze-kanal legitimo bat eta tratatu pasahitza itzultzen duen edozein mezu susmagarri gisa.

Ebaluazio zehatza laburra da: zer frogatzen duen mezuak, zer jarraitzen duen ezezagun eta berreskuratzeak prozesu kontrolatu baten bidezko sarbidea ordezkatzen duen.