Գաղտնաբառով էլ. նամակը վկայում է հետադարձելիություն, ոչ թե սխեմա

Ծառայությունը, որը էլ. փոստով ուղարկում է օգտվողի ընթացիկ գաղտնաբառը, ապացուցել է մեկ բան՝ այն կարող է ստանալ այդ գաղտնիքը այնպիսի ձևով, որը կարող է ուղարկել։ Այն չի ապացուցել, թե որ սյունը, ալգորիթմը կամ գրադարանն է այն ստեղծել։ Տարբերությունը կարևոր է, որովհետև հայտնաբերումն իրական է, և մարդիկ դրանից սովորաբար չափից ավելի կոնկրետ եզրակացություն են անում։ Ուղու ինչ-որ տեղ հետադարձելիությունը մեխանիզմն է. գուշակված պահման ձևաչափը՝ ոչ։

Ապացույցները պահեք այդ մակարդակում, և վերանայման մնացած մասը կմնա ճշգրիտ։

Ինչ է ապացուցում հին գաղտնիքի վերադարձը

Միակողմանի ստուգիչը չի կարող ստեղծել սկզբնական գաղտնաբառը, որովհետև այն նախագծվել է ոչ շրջելի լինելու համար։ Եթե ծառայությունը կարող է էլ. փոստով ուղարկել գաղտնաբառը, ապա այդ պահին այն պահում է նյութ, որից գաղտնաբառը կարելի է վերականգնել, կամ այն որսում ու պահում է բաց տեքստը մինչև հեշավորումը։ Երկու դեպքում էլ վերականգնման ուղին հետադարձելի է, և դա իրական անվտանգության հայտնաբերում է։ Դա ոչինչ չի ասում այն մասին, թե արդյոք նույն տվյալների բազան այլ սյուների համար օգտագործում է թանկ հեշ։

Ուշադրություն դարձրեք նաև միջանկյալ դեպքին՝ հավելվածի ձեռքին եղած բանալիով պահված գաղտնագրված բլոբը գործնականում հետադարձելի է, թեև գաղտնագրված բառը զեկույցում հանգստացնող է հնչում։

Ինչու է սա ձևավորման հայտնաբերում, ոչ թե պահման քարտեզ

Նամակը վկայում է վերականգնելիությունը և չի նույնականացնում ճշգրիտ սխեման։ Այն կարող է լինել բաց տեքստ, դետերմինիստական գաղտնագրում, մատակարարի մշուշման ռեժիմ կամ առանձին հավատարմագրերի պահոց, որն օգտագործվում է միայն վերականգնման համար։ Արտադրանքի տարբեր մասեր հաճախ տարբեր պահում են օգտագործում։ Մեկ նամակի հիման վրա ալգորիթմ վերագրելը այնպիսի պնդում է, որը փլուզվում է հաջորդ հանդիպմանը։

Այն, ինչ կարող եք ասել, ավելի նեղ և ավելի օգտակար է՝ այս ուղին կարող է վերականգնել գաղտնիքը, ուստի արտադրանքը չի կարող պնդել, թե վերականգնելի հավատարմագրեր չկան։ Ամեն ինչ դրանից այն կողմ պահանջում է օպերատորի ապացույցները։

Կառուցեք վերակայումը լիազորման շուրջ

Վերակայումը լուծում է այլ խնդիր՝ ապացուցել, որ հայտատուն կարող է ընտրել նոր գաղտնաբառ։ OWASP-ի ուղեցույցը այս մասին նկարագրում է ապահով կերպով գեներացված, մեկանգամյա թոքեններ կամ կոդեր՝ համապատասխան ժամկետով, և հարցման փուլը դիտարկում է որպես մի բան, որը պետք է պաշտպանել հաշվարկումից և հեղեղումից։ Չնույնականացված հարցումը չպետք է ինքնուրույն փոխի հաշիվը։ Վավերացրեք լիազորումը մինչև փոխարինումը ընդունելը, և մեկ հաջող օգտագործումից հետո թոքենը դարձրեք անօգտագործելի։

Էլ. փոստի ուղին անվտանգության մոդելի մասն է։ Հաշվի անուն ունենալը ոչինչ չի ապացուցում, և վերակայման այն հոսքը, որը բացահայտում է՝ հաշիվը գոյություն ունի, թե ոչ, հարձակվողին տալիս է աշխատելու ուղեցույց։

Անվավերացրեք այն, ինչը պաշտպանում էր գաղտնաբառը

Գաղտնաբառի փոփոխությունը ինքնաբերաբար չի ավարտում այն հասանելիությունը, որը տալիս էր։ Ակտիվ VPN նստաշրջանները, հիշված սարքերը և սերվերի թողարկած թոքենները կարող են ունենալ անվավերացման իրենց վարքը։ Գիտակցաբար որոշեք, թե դրանցից որոնք պետք է ավարտվեն, և ստուգեք, որ իրականացումը դա անում է, որովհետև օգտվողը, որը ենթադրում է, թե վերակայումը նրան ամենուրից դուրս է հանել, հաճախ սխալվում է։ Այդ որոշումը գրանցեք հոսքի հետ։

Օպերատորների համար՝ փաստաթղթավորեք, թե որ բաղադրիչն է ստուգում հարցումը, որը՝ փոխում հավատարմագիրը, և ինչպես են կառավարվում կապակցված նստաշրջանները։ Օգտվողների համար՝ պաշտպանեք օրինական վերականգնման ուղին և գաղտնաբառ վերադարձնող ցանկացած հաղորդագրություն համարեք կասկածելի։

Ճշգրիտ գնահատականը կարճ է՝ ինչ է ապացուցում հաղորդագրությունը, ինչն է մնում անհայտ, և արդյոք վերականգնումը փոխարինում է հասանելիությունը վերահսկվող գործընթացով։