Behannelje in geheim rekkennûmer as in bewiis fan identiteit: auditearje it

In fjild mei it label rekkennûmer is net automatysk in iepenbiere ferwizing, en it label is net de test. De test is wat besit tasteat: as it kennen fan it nûmer immen oanmeldet, in ferbiningsprofyl downloadt of in apparaat autorisearret, is dat nûmer in bewiis fan identiteit mei in libbenssyklus. Ik doch de fiif kontrôles hjirûnder eltse kear as in tsjinst in numerike identiteit útjout en dy skeadleas neamt. Elk leveret in rigel yn in koart ferslach, en it ferslach is it resultaat, net in oardiel oer it produkt.

Yventarisearje wat besit eins ferliend

Skriuw elke aksje dy't it nûmer iepenet apart op. Oanmelde by in portaal, in konfiguraasjebestân helje, in nij apparaat autorisearje en in akseptearre tunneloanmelding leverje binne ferskillende foegen, en in tsjinst kin ien ymplementearje sûnder de oaren. In portaal dat it nûmer as ienich fjild akseptearret, seit neat oer hoe't de tunnel syn peetpartner autentisearret letter of hoe't ferkearskaaien ôflaat wurde.

It algemiene model is maklik te ferwurden: in bearer-bewiis fan identiteit is ien dat de hâlder brûke kin sûnder besit fan in aparte kryptografyske kaai te bewizen, en dat is it ûnderskied dat RFC 6750 lûkt foar tokens. Dit is in ferliking, gjin bewearing dat in nûmerbasearre tsjinst OAuth ymplementearret. As de hâlder neat oars nedich hat, behannelje it nûmer as in bearer-geheim en klassifisearje de rest fan it ûntwerp dêrneffens.

Beskermje it as in geheim, net as in ferwizing

Opslach folget út de klassifikaasje. In wearde dy't oanmeldet heart yn in wachtwurdbehearder, net yn in skermôfdruk, in klamboerdskiednis, in chatberjocht of in browser-notysje. Skermôfdrukken binne it gewoane lek: it nûmer is koart en liket skeadleas, sadat it belânet yn in stipe-tried dy't it apparaat dêr't it fan kaam oerlibbet.

Phishing is de oare flatermodus, en it makket net út hoe tafallich it nûmer is. In bedrager dy't de wearde wol, sil dy freegje it yn in formulier te plakken, en in bewiis fan identiteit dat nea ferrint en gjin twadde faktor hat, is de muoite wurdich. Berik de oanmeldrûte fia in blêdwizer of in bekend adres, net fia in keppeling yn in berjocht dat ek om it nûmer freget.

Behannelje herstelmateariaal as diel fan it geheim. As de operator ek in herstelkoade, in PIN of in e-mailadres útjûn hat dat it akkount weromsette kin, binne dat aparte bewiizen fan identiteit mei deselde beskermingseask. Ien ûnbeskerme weromsetkanaal makket elk oar kontrôle fersiering.

Kontrolearje riedbestindigens en taryflimitaasje tegearre

Lingte hat allinnich betsjutting neist de generaasjemetoade. In lang nûmer út in foarsisbere searje is swakker as in koarte wearde út in kryptografyske generator, en in yndrukwekkend oantal sifers bewiist gjin ûnfoarsisberens. Freegje hoe't de wearde generearre wurdt foardatst redenearrest oer hoe dreech it is om it te rieden.

Riedbestindigens allinnich oerlibbet ek gjin ûnbeheind besykjenstaryf. De kontrôles dy't der ta dogge, binne dy't de operator ymplementearret: tellers foar mislearre besykjen, beskoattelingen, beheining per boarne en oft in ferkeard nûmer fan in net-besteand ûnderskieden wurde kin. As de tsjinst dat stipet, lit ien mislearre besykjen sjen hoe't de flater derút sjocht en oft in werbesykjensteller ferskynt:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

Registrearje wat it antwurd iepenbieret. In aparte flater foar in ûnbekend akkount is in enumeraasje-orakel sels as it nûmer net te rieden is, en dy befinning heart yn it ferslach, oftst it no fan 'e kliïntkant ôf ferbetterje kinst of net.

Plan rotaasje en yntrekken foardatst se nedich hast

Fyn de stipe proseduere foar in ferlern of bleatsteld nûmer en skriuw dy op wylst alles wurket. Kin it bewiis fan identiteit fan it akkount hielendal ferfongen wurde? Makket ferfanging al registrearre apparaten, aktive sesjes of downloade konfiguraasje ûnjildich? Hokker herstelmateariaal freget de proseduere? In tsjinst sûnder e-mailôfhinklikens kin mear herstelferantwurdlikheid nei de brûker oerbringe, wat de proseduere wichtiger makket, net minder.

Skied akkountferfanging fan yntrekken fan it bewiis fan identiteit. As it nûmer it downloaden fan in kaai, sertifikaat of profyl autorisearret, kin ferfanging fan it nûmer dat downloade mateariaal jildich litte, en it yntrekken fan it downloade mateariaal kin in oare operaasje mei in oare eigner wêze. Nim net oan dat ien feroare fjild elke ferbining beëiniget; kontrolearje it werklike model fan de operator en notearje wêr'tst it ferifiearre hast.

Dokumintearje de beslissing en kontrolearje it letter opnij

Hâld in ferslach fan ien siden per tsjinst: hokker foegen it nûmer jout, wêr't it bewarre wurdt, wa't it weromsette kin, hokker bewiis fan gebrûk bestiet en watst yn it earste oere nei iepenbaring dwaan soest. Dat ferslach is wat in diskusje oer terminology feroaret yn in beslissing dy't immen auditearje kin.

Privacybewearings hawwe har eigen berik nedich. In tafallich generearre nûmer kin noch altyd in stabile identifier wêze dy't akkountbarrens oer de tiid ferbynt; ûnfoarsisberens is gjin ûnferbining, en gjin fan beide eigenskippen seit eat oer bewarre netwurkmetadata. Ferlykje folsleine ûntwerpen ynstee fan fjilden op in oanmeldskerm te tellen.

Foardatst it registrearrest:

• Elke foech dy't it nûmer jout, is listet, ynklusyf downloads en apparaatautorisaasje.
• Opslach- en herstelkanalen wurde beskerme neffens deselde standert as it nûmer sels.
• De generaasjemetoade en taryflimiten binne bekend, net út 'e lingte oannommen.
• Der bestiet in ferfangingsproseduere en in yntrekkingsproseduere, en do wist hokker ien hokker annulearret.
• It ferslach neamt wa't de wearde weromsette kin en hokker bewiis nei gebrûk oerbliuwt.