VPN-jelszóváltó oldal: illeszkedés az identitástárhoz

Nyissa meg a jelszóváltó oldalt, és olvassa úgy, ahogy egy felhasználó olvasná, majd kérdezze meg, melyik szolgáltatás birtokolja valójában a hitelesítő adatot. Az oldal egy űrlap; az identitástár a jogosultság. Ha a kettő nem egyezik, a felhasználó elutasított jelszóval, semmit vissza nem állító visszaállítással vagy semmit nem változtató sikerüzenettel találkozik. A folyamat végigkövetése a képernyőtől a backendig az egyetlen módja ennek elkapására.

Kezdje a művelet besorolásával: normál váltás, lejárt jelszó folyamata vagy helyreállítás elfelejtett jelszó után.

Három művelet, három munkafolyamat

A normál váltás feltételezi, hogy a felhasználó ismeri a jelenlegi jelszót, és be tudja bizonyítani. A lejárt jelszó folyamata korlátozott munkamenetet engedélyezhet, amelyben csak a váltás megengedett. Az elfelejtett jelszó utáni helyreállítás teljesen más identitásbizonyítékot igényel, és átruházható egy identitásszolgáltatóra ahelyett, hogy a VPN-átjárón kezelnék. Mindegyiknek saját végpontja, backend-támogatása és munkamenetszabályai vannak, és egy űrlap nem tudja mindhármat megfelelően kiszolgálni.

Föderált telepítésben előfordulhat, hogy az átjáró egyáltalán nem gyűjt új jelszót. Ellenőrizze, hogy a folyamat átirányít-e az identitásszolgáltatóhoz, és hogy az oldal szövege még helyi űrlapot ír-e le.

Honnan származik valójában a szabályzat

Kérdezze meg az identitás tulajdonosát az engedélyezett hosszról, a karakterkészletről és bármilyen alkalmazandó korlátozásról, majd írjon ezeknek megfelelő utasításokat. Összetételi szabályok kitalálása a súgószövegben, vagy olyan elfogadás ígérése, amelyet a backend megtagad, mindkettő támogatási jegyeket termel. A NIST digitális identitásra vonatkozó iránymutatása az önkényes szabályok helyett a világos útmutatás és a hasznos visszajelzés felé hajlik, miközben a szervezet tényleges szabályzata továbbra is érvényes. Egy publikáció nem bizonyíték arra, hogy egy adott könyvtár már így viselkedik.

Tartsa hasznosnak a hibaüzeneteket titkok felfedése nélkül. Az az üzenet, amely visszaad egy részben beírt jelszót, vagy egy jegyben lévő képernyőkép, amely ilyet tartalmaz, a támogatási mellékterméket hitelesítő adatok felfedésévé változtatja.

A backendhez illő megfogalmazás

Az oldalnak a munkafolyamatot kell megneveznie, nem absztrakt módon leírnia a szabályzatot. Mondja meg, hol történik a váltás, milyen bizonyíték szükséges, és mi történik a többi munkamenettel. Ha a váltás mindenhol kijelentkezteti a felhasználót, mondja meg; ha más eszközöket aktívan hagy, azt is mondja meg. A zavarodott felhasználó, aki megismétel egy sikeres váltást, olyan támogatási költség, amelyet a jobb megfogalmazás megelőz.

A lokalizáció megváltoztathatja az utasítások hangnemét; nem változtathatja meg azt, amit a backend elfogad.

A folyamatot tesztelje, ne az oldalt

Használjon engedélyezett tesztfiókot, és járja végig a dokumentált váltást, egy elutasítási esetet, a lejárt jelszó esetét és az azt követő bejelentkezést. Ahol az MFA vagy egy föderált átirányítás a jóváhagyott folyamat része, azt is járja végig. A helyesen megjelenő oldal a megjelenítést igazolta, és semmi mást, mert az identitásszolgáltatás dönti el, hogy a hitelesítő adatokkal végzett művelet befejeződött-e.

Rögzítse minden eset eredményét a használt fiókkal és az időponttal. Az a folyamat, amely egyszer működik egy adminisztrátornak, és elbukik egy normál felhasználónál, gyakori kimenet, és a feljegyzés az, ami láthatóvá teszi.

Ezután frissítse az oldalt annak leírásával, ami valójában történt. Ez az egész feladat.