הודעת דואר עם הסיסמה מוכיחה הפיכות, לא סכימת אחסון

שירות ששולח בדואר את הסיסמה הנוכחית של משתמש הוכיח דבר אחד: הוא יכול להשיג את הסוד הזה בצורה שהוא יכול לשלוח. הוא לא הוכיח איזה עמודה, אלגוריתם או ספרייה יצרו אותה. ההבחנה חשובה משום שהממצא אמיתי והמסקנה שאנשים מסיקים ממנו בדרך כלל ספציפית מדי. הפיכות במקום כלשהו במסלול היא המנגנון; פורמט אחסון משוער אינו כזה.

השאירו את הראיות ברמה הזו, ושאר הסקירה יישאר מדויק.

מה מוכיח החזרת הסוד הישן

מאמת חד-כיווני לא יכול לייצר את הסיסמה המקורית, משום שהוא תוכנן שלא להיות הפיך. אם השירות יכול לשלוח את הסיסמה בדואר, הרי שבאותו רגע יש בידיו חומר שממנו ניתן לשחזר את הסיסמה, או שהוא מיירט ושומר את הטקסט הגלוי לפני הגיבוב. כך או כך, מסלול השחזור הפיך, וזהו ממצא אבטחה אמיתי. אין בכך כדי לומר דבר על השאלה אם אותו מסד נתונים משתמש בגיבוב יקר עבור עמודות אחרות.

שימו לב גם למקרה הביניים: בלוב מוצפן מאוחסן עם מפתח שהאפליקציה מחזיקה בה הוא הפיך למעשה, גם אם המילה מוצפן נשמעת מרגיעה בדוח.

מדוע זה ממצא תכנון ולא מפת אחסון

הדואר מוכיח שחזוריות ואינו מזהה את הסכימה המדויקת. ייתכן שמדובר בטקסט גלוי, בהצפנה דטרמיניסטית, בשגרת טשטוש של ספק, או במאגר אישורים נפרד שמשמש רק לשחזור. חלקים שונים של מוצר משתמשים לעיתים קרובות באחסון שונה. ייחוס אלגוריתם על סמך הודעת דואר אחת הוא סוג הטענה שמתמוטט בפגישת המשך.

מה שאפשר לומר הוא צר ושימושי יותר: המסלול הזה יכול לשחזר את הסוד, ולכן המוצר אינו יכול לטעון שאין אישור שחזור. כל מה שמעבר לכך דורש את הראיות של המפעיל.

בנו את האיפוס סביב הרשאה

איפוס פותר בעיה אחרת: להוכיח שהמבקש רשאי לבחור סיסמה חדשה. ההנחיות של OWASP בנושא מתארות אסימונים או קודים חד-פעמיים שנוצרים באופן מאובטח עם תפוגה מתאימה, והן מתייחסות לשלב הבקשה כאל משהו שיש להגן עליו מפני ספירה ומפני הצפה. בקשה לא מאומתת אינה אמורה לשנות את החשבון בעצמה. אמתו את ההרשאה לפני קבלת התחליף, והפכו את האסימון לבלתי שמיש לאחר שימוש מוצלח אחד.

ערוץ הדואר הוא חלק ממודל האבטחה. החזקה בשם חשבון אינה מוכיחה דבר, ותהליך איפוס שחושף אם חשבון קיים מעניק לתוקף מדריך לעבודה.

בטלו את מה שהסיסמה הגנה עליו

החלפת סיסמה אינה מסיימת אוטומטית את הגישה שהיא העניקה. הפעלות VPN פעילות, מכשירים זכורים ואסימונים שהשרת מנפיק עשויים כל אחד להתנהג אחרת בביטול. החליטו במכוון אילו מהם חייבים להסתיים, ואמתו שהמימוש עושה זאת, משום שמשתמש שמניח שאיפוס ניתק אותו בכל מקום טועה לעיתים קרובות. תעדו את ההחלטה הזו יחד עם התהליך.

למפעילים: תעדו איזה רכיב מאמת את הבקשה, איזה משנה את האישור וכיצד מטופלות הפעלות קשורות. למשתמשים: הגנו על ערוץ השחזור הלגיטימי והתייחסו לכל הודעה שמחזירה סיסמה כאל חשודה.

ההערכה המדויקת קצרה: מה ההודעה מוכיחה, מה נותר בלתי ידוע והאם שחזור מחליף גישה באמצעות תהליך מבוקר.