ગુપ્ત ખાતા નંબરને ઓળખપત્ર તરીકે ગણો: તેનું ઓડિટ કરો

ખાતા નંબર તરીકે લેબલ થયેલું ક્ષેત્ર આપોઆપ જાહેર સંદર્ભ નથી, અને લેબલ પરીક્ષા નથી. પરીક્ષા એ છે જે કબજો પરવાનગી આપે છે: જો નંબર જાણવાથી કોઈ સાઇન ઇન થાય, કનેક્શન પ્રોફાઇલ ડાઉનલોડ થાય અથવા ઉપકરણ અધિકૃત થાય, તો તે નંબર જીવનચક્ર ધરાવતું ઓળખપત્ર છે. સેવા આંકડાકીય ઓળખ આપીને તેને હાનિકારક ન કહે ત્યારે હું નીચેની પાંચ તપાસ કરું છું. દરેક તપાસ ટૂંકી નોંધમાં એક લાઇન બનાવે છે, અને નોંધ એ જ પરિણામ છે, ઉત્પાદન વિશેનો નિર્ણય નહીં.

કબજો ખરેખર શું આપે છે તેની યાદી બનાવો

નંબર જે જે ક્રિયા ખોલે છે તે અલગ અલગ લખો. પોર્ટલમાં સાઇન ઇન, કન્ફિગરેશન ફાઇલ મેળવવી, નવું ઉપકરણ અધિકૃત કરવું અને સ્વીકૃત ટનલ સાઇન ઇન આપવું એ અલગ અધિકારો છે, અને સેવા એકને બીજા વિના અમલમાં મૂકી શકે છે. જે પોર્ટલ નંબરને એકમાત્ર ક્ષેત્ર તરીકે સ્વીકારે છે તે આ અંગે કંઈ કહેતું નથી કે ટનલ તેના સાથીની પ્રમાણિકતા કેવી રીતે ચકાસે છે પછી, અથવા ટ્રાફિક કી કેવી રીતે મેળવાય છે.

સામાન્ય મોડેલ કહેવું સરળ છે: bearer ઓળખપત્ર એ છે જે ધારક અલગ ક્રિપ્ટોગ્રાફિક કીના કબજા વિના વાપરી શકે છે, અને આ જ તે ભેદ છે જે RFC 6750 ટોકન માટે દોરે છે. આ સરખામણી છે, સેવા OAuth અમલમાં મૂકે છે તેવો દાવો નથી. જો ધારકને બીજું કંઈ ન જોઈએ, તો નંબરને bearer રહસ્ય ગણો અને બાકીની રચના તે મુજબ વર્ગીકૃત કરો.

તેને સંદર્ભની જેમ નહીં, રહસ્યની જેમ સુરક્ષિત રાખો

સંગ્રહ વર્ગીકરણમાંથી આવે છે. સાઇન ઇન કરાવતું મૂલ્ય પાસવર્ડ મેનેજરમાં હોય છે, સ્ક્રીનશોટ, ક્લિપબોર્ડ ઇતિહાસ, ચેટ સંદેશ કે બ્રાઉઝર નોંધમાં નહીં. સ્ક્રીનશોટ સામાન્ય લીક છે: નંબર ટૂંકો હોય છે અને હાનિકારક લાગતો નથી, તેથી તે જે ઉપકરણમાંથી આવ્યો તેનાથી વધુ જીવતા સહાય થ્રેડમાં પહોંચે છે.

ફિશિંગ બીજો નિષ્ફળતાનો પ્રકાર છે અને નંબર કેટલો અવ્યવસ્થિત છે તેની તેને પરવા નથી. મૂલ્ય ઇચ્છતો છેતરનાર તમને તે ફોર્મમાં પેસ્ટ કરવા કહેશે, અને ક્યારેય સમાપ્ત ન થતું, બીજું પરિબળ ન ધરાવતું ઓળખપત્ર પ્રયાસને લાયક છે. સાઇન ઇનનો રસ્તો બુકમાર્ક કે જાણીતા સરનામેથી પકડો, નંબર પણ માગતા સંદેશની લિંકથી નહીં.

પુનઃપ્રાપ્તિ સામગ્રીને રહસ્યનો ભાગ ગણો. જો ઓપરેટરે પુનઃપ્રાપ્તિ કોડ, PIN કે ખાતું રીસેટ કરી શકે તેવું ઇમેલ સરનામું પણ આપ્યું હોય, તો તે અલગ ઓળખપત્રો છે જેના પર એ જ સુરક્ષા શરત લાગુ છે. એક અસુરક્ષિત રીસેટ ચેનલ બાકીના બધા નિયંત્રણોને સજાવટ બનાવે છે.

અંદાજ પ્રતિકાર અને દર મર્યાદા સાથે તપાસો

લંબાઈ ફક્ત ઉત્પાદન પદ્ધતિની બાજુમાં અર્થપૂર્ણ છે. પૂર્વાનુમાનિત ક્રમમાંથી બનેલો લાંબો નંબર ક્રિપ્ટોગ્રાફિક જનરેટરમાંથી આવેલા ટૂંકા મૂલ્ય કરતાં નબળો છે, અને પ્રભાવશાળી અંકસંખ્યા અણધાર્યતા સાબિત કરતી નથી. મૂલ્ય કેવી રીતે બને છે તે પૂછો, તેનો અંદાજ કેટલો કઠિન છે તે વિચારતા પહેલાં.

ફક્ત અંદાજ પ્રતિકાર પણ અમર્યાદિત પ્રયાસ દર સામે ટકતો નથી. મહત્ત્વના નિયંત્રણો તે છે જે ઓપરેટર લાગુ કરે છે: નિષ્ફળ પ્રયાસ ગણક, લોકઆઉટ, સ્રોત પ્રમાણે થ્રોટલિંગ, અને ખોટો નંબર ગેરહાજરથી અલગ પડે છે કે નહીં. જો સેવા આને સમર્થન આપે, તો એક નિષ્ફળ પ્રયાસ દર્શાવે છે કે ભૂલ કેવી દેખાય છે અને ફરી પ્રયાસ ગણક દેખાય છે કે નહીં:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

પ્રતિસાદ શું ખુલ્લું કરે છે તે નોંધો. અજાણ્યા ખાતા માટે અલગ ભૂલ ગણતરી ઓરેકલ છે, નંબરનો અંદાજ લગાવવો અશક્ય હોય તોપણ, અને આ અવલોકન નોંધનો ભાગ છે, તમે ક્લાયન્ટ બાજુથી સુધારી શકો કે નહીં.

પરિભ્રમણ અને રદ કરવાની યોજના જરૂર પહેલાં કરો

હરાવેલા કે ખુલ્લા નંબર માટે સમર્થિત પ્રક્રિયા શોધો અને બધું ચાલુ હોય ત્યારે લખો. ખાતાનું ઓળખપત્ર બદલી શકાય છે? બદલાવ પહેલેથી નોંધાયેલા ઉપકરણો, સક્રિય સત્રો કે ડાઉનલોડ કરેલી કન્ફિગરેશન રદ કરે છે? પ્રક્રિયા કઈ પુનઃપ્રાપ્તિ સામગ્રી માગે છે? ઇમેલ પર અવલંબન ન હોય તેવી સેવા વપરાશકર્તા પર વધુ પુનઃપ્રાપ્તિ જવાબદારી મૂકી શકે છે, જે પ્રક્રિયાને વધુ મહત્ત્વની બનાવે છે, ઓછી નહીં.

ખાતું બદલવાને ઓળખપત્ર રદ કરવાથી અલગ રાખો. જો નંબર ચાવી, પ્રમાણપત્ર કે પ્રોફાઇલ ડાઉનલોડ કરવાનું અધિકૃત કરે, તો નંબર બદલવાથી તે ડાઉનલોડ સામગ્રી માન્ય રહી શકે, અને ડાઉનલોડ સામગ્રી રદ કરવી બીજા માલિકની બીજી ક્રિયા હોઈ શકે. એક બદલાયેલું ક્ષેત્ર દરેક જોડાણ સમાપ્ત કરે છે એમ ન માનો; ઓપરેટરનું વાસ્તવિક મોડેલ તપાસો અને ક્યાં ચકાસ્યું તે લખો.

નિર્ણયનું દસ્તાવેજીકરણ કરો અને પછી ફરી તપાસો

દરેક સેવા માટે એક પૃષ્ઠની નોંધ રાખો: નંબર કયા અધિકારો આપે છે, ક્યાં સંગ્રહિત છે, કોણ તેને રીસેટ કરી શકે છે, વપરાશના કયા પુરાવા છે અને ખુલાસા પછી પ્રથમ કલાકમાં તમે શું કરશો. આ નોંધ જ શબ્દાવલીની ચર્ચાને કોઈ ઓડિટ કરી શકે તેવા નિર્ણયમાં બદલે છે.

ગોપનીયતાના દાવાઓને પોતાનો વ્યાપ જોઈએ. અવ્યવસ્થિત રીતે બનેલો નંબર હજી સ્થિર ઓળખકર્તા હોઈ શકે જે ખાતાની ઘટનાઓને સમયમાં જોડે છે; અણધાર્યતા અ-જોડાણ નથી, અને કોઈ પણ ગુણ સંગ્રહિત નેટવર્ક મેટાડેટા વિશે કંઈ કહેતો નથી. સાઇન ઇન સ્ક્રીનના ક્ષેત્રો ગણવાને બદલે સંપૂર્ણ રચનાઓની તુલના કરો.

તેને નોંધતા પહેલાં:

• નંબર આપતા બધા અધિકારો સૂચિબદ્ધ છે, ડાઉનલોડ અને ઉપકરણ અધિકૃતતા સહિત.
• સંગ્રહ અને પુનઃપ્રાપ્તિ ચેનલ તે જ ધોરણ પર સુરક્ષિત છે જેના પર નંબર પોતે.
• ઉત્પાદન પદ્ધતિ અને દર મર્યાદાઓ જાણીતી છે, લંબાઈ પરથી ધારેલી નથી.
• બદલવાની પ્રક્રિયા અને રદ કરવાની પ્રક્રિયા અસ્તિત્વમાં છે, અને કોણ કોને રદ કરે છે તે તમે જાણો છો.
• નોંધ જણાવે છે કોણ મૂલ્ય રીસેટ કરી શકે છે અને વપરાશ પછી કયા પુરાવા રહે છે.