Trata ezazu kontu-zenbaki sekretu bat kredentzial gisa: audita ezazu

Kontu-zenbaki gisa etiketatutako eremu bat ez da automatikoki erreferentzia publikoa, eta etiketa ez da proba. Proba da jabetzak zer ahalbidetzen duen: zenbakia ezagutzeak norbait saioa hasten badu, konexio-profila deskargatzen badu edo gailu bat baimetzen badu, zenbaki hori bizi-zikloa duen kredentziala da. Beheko bost egiaztapenak egiten ditut zerbitzu batek identitate numeriko bat jaulkitzen duen eta kaltegabetzat deitzen duen bakoitzean. Bakoitzak lerro bat sortzen du erregistro labur batean, eta erregistroa da emaitza, ez produktuaren inguruko epaia.

Inbentaria ezazu jabetzak zer ematen duen benetan

Idatzi zenbakiak irekitzen duen ekintza bakoitza bereizita. Atari batean saioa hastea, konfigurazio-fitxategi bat lortzea, gailu berri bat baimendu eta onartutako tunel-saio-hasiera bat ematea autoritate desberdinak dira, eta zerbitzu batek bat inplementa dezake besteak gabe. Zenbakia eremu bakartzat onartzen duen atariak ez du ezer esaten tunelak nola autentifikatzen duen bere parekoa geroago edo trafiko-gakoak nola eratortzen diren.

Eredu orokorra erraza da adierazten: bearer kredentziala da titularrak aparteko gako kriptografiko bat edukitzea frogatu gabe erabil dezakeena, eta hori da RFC 6750 tokenentzat marrazten duen bereizketa. Hau konparazioa da, ez zenbaki baten gaineko zerbitzu batek OAuth inplementatzen duen baieztapena. Titularrak beste ezer behar ez badu, trata ezazu zenbakia bearer sekretu gisa eta sailkatu diseinuaren gainerakoa horren arabera.

Babestu ezazu sekretu gisa, ez erreferentzia gisa

Biltegiratzea sailkapenetik dator. Saioa hasten duen balioa pasahitzen kudeatzailean dago, ez pantaila-argazkian, arbeleko historialean, txat-mezuan edo nabigatzailearen oharrean. Pantaila-argazkiak ohiko ihesbidea dira: zenbakia laburra da eta kaltegabea dirudi, beraz, hura sortu zen gailua baino gehiago irauten duen laguntza-hari batean geratzen da.

Phishinga beste hutsegite-modua da, eta ez zaio axola zenbakia zenbateraino ausazkoa den. Balioa nahi duen iruzurti batek formulario batean itsasteko eskatuko dizu, eta inoiz iraungitzen ez den eta bigarren faktorerik ez duen kredentzialak egitea merezi du. Iritsi saio-hasierako bidera laster-marka edo helbide ezagun batetik, zenbakia ere eskatzen duen mezu bateko estekatik baino.

Trata itzazu berreskuratze-materialak sekretuaren zati gisa. Operadoreak berreskuratze-kode bat, PIN bat edo kontua berrezar dezakeen helbide elektroniko bat ere eman badu, babes-baldintza berbera duten kredentzial bereiziak dira. Babesik gabeko berrezartze-kanal bakar batek beste kontrol guztiak apaingarri bihurtzen ditu.

Egiaztatu elkarrekin asmatzearekiko erresistentzia eta tasa-muga

Luzerak zentzua du sortze-metodoaren ondoan soilik. Zenbaki luze bat sekuentzia aurreikusgarri batetik sortua balio labur bat baino ahulagoa da, eta zifra-kopuru ikusgarriak ez du ezustekotasuna frogatzen. Galdetu balioa nola sortzen den, asmatzeko zenbateraino zaila den arrazoitu aurretik.

Asmatzearekiko erresistentziak bakarrik ez dio eusten saiakeren tasa mugagabeari ere. Kontrol garrantzitsuak operadoreak inplementatzen dituenak dira: huts egindako saiakeren kontagailuak, blokeoak, iturri bakoitzeko muga eta zenbaki okerra existitzen ez den batetik bereiz daitekeen. Zerbitzuak hori onartzen badu, huts egindako saiakera batek erakusten du nolakoa den errorea eta agertzen den berriz saiatzeko kontagailua:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

Erregistratu erantzunak zer agerian uzten duen. Kontu ezezagun baterako errore bereizi bat zenbaketa-orakulua da, zenbakia asmaezina izan arren, eta aurkikuntza hori erregistroarena da, bezeroaren aldean konpon dezakezun edo ez.

Planifikatu biraketa eta baliogabetzea behar baino lehen

Aurkitu galdutako edo agerian utzitako zenbaki baterako onartutako prozedura eta idatzi ezazu dena funtzionatzen ari den bitartean. Kontuaren kredentziala ordeztu daiteke? Ordezkapenak baliogabetzen ditu jada izena emandako gailuak, aktibo dauden saioak edo deskargatutako konfigurazioa? Zer berreskuratze-material eskatzen du prozedurak? Posta elektronikoaren mendekotasunik ez duen zerbitzu batek berreskuratze-erantzukizun handiagoa transferi diezaioke erabiltzaileari, eta horrek prozedura garrantzitsuagoa egiten du, ez gutxiago.

Bereizi kontuaren ordezkapena kredentzialaren baliogabetzetik. Zenbakiak gako, ziurtagiri edo profil baten deskarga baimentzen badu, zenbakia ordezteak deskargatutako material hori baliozkoa utz dezake, eta deskargatutako materiala baliogabetzea beste jabe bat duen beste eragiketa bat izan daiteke. Ez ezazu pentsatu aldatutako eremu batek konexio guztiak amaitzen dituenik; egiaztatu operadorearen benetako eredua eta erregistratu non egiaztatu duzun.

Dokumentatu erabakia eta berrikusi ezazu geroago

Mantendu orrialde bateko erregistroa zerbitzu bakoitzeko: zenbakiak zer autoritate ematen dituen, non gordetzen den, nork berrezar dezakeen, zer erabilera-froga dauden eta agerian utzi ondorengo lehen orduan zer egingo zenukeen. Erregistro horrek bihurtzen du terminologiari buruzko eztabaida norbaitek auditatu dezakeen erabaki.

Pribatutasun-adierazpenek beren esparrua behar dute. Ausaz sortutako zenbaki bat identifikatzaile egonkorra izan daiteke oraindik, denboran zehar kontuko gertaerak lotzen dituena; ezustekotasuna ez da lotu-ezintasuna, eta bi ezaugarrietako batek ere ez du ezer esaten gordetako sareko metadatuen inguruan. Konparatu diseinu osoak, saio-hasierako pantailako eremuak zenbatu beharrean.

Erregistratu aurretik:

• Zenbakiak ematen dituen autoritate guztiak zerrendatuta daude, deskargak eta gailu-baimena barne.
• Biltegiratze- eta berreskuratze-kanalak zenbakiaren beraren estandar bereberez babestuta daude.
• Sortze-metodoa eta tasa-mugak ezagunak dira, ez luzeratik suposatuak.
• Ordezkatze-prozedura eta baliogabetzeko prozedura daude, eta badakizu zeinek zein deuseztatzen duen.
• Erregistroak adierazten du nork berrezar dezakeen balioa eta zer froga geratzen diren erabileraren ondoren.