Құпия шот нөмірін тіркелгі деректері ретінде қарастырыңыз: оны аудиттен өткізіңіз

Егер нөмірді білу біреуді кіргізсе немесе конфигурацияны жүктесе, бұл тіркелгі деректері. Өкілеттік, сақтау, болжау жылдамдығы және айналым тексерулерін орындаңыз.

Шот нөмірі деп белгіленген өріс автоматты түрде жалпыға қолжетімді сілтеме емес, және белгілеу тест емес. Тест — иелену нені мүмкіндік беретіні: егер нөмірді білу біреуді кіргізсе, қосылым профилін жүктесе немесе құрылғыны авторизацияласа, бұл нөмір өмірлік циклі бар тіркелгі деректері. Қызмет сандық сәйкестік беріп, оны зиянсыз деп атаған сайын мен төмендегі бес тексеруді орындаймын. Әрқайсысы қысқа хаттамада бір жол жасайды, ал хаттама — нәтиже, өнім туралы үкім емес.

Иелену шын мәнінде нені беретінін түгендеңіз

Нөмір ашатын әр әрекетті бөлек жазыңыз. Порталға кіру, конфигурация файлын алу, жаңа құрылғыны авторизациялау және қабылданған туннель кіруін ұсыну — әртүрлі өкілеттіктер, және қызмет біреуін басқаларынсыз жүзеге асыра алады. Нөмірді жалғыз өріс ретінде қабылдайтын портал туннель өз серіктесін қалай аутентификациялайтыны туралы кейінірек немесе трафик кілттерінің қалай шығарылатыны туралы ештеңе айтпайды.

Жалпы модельді айту оңай: bearer тіркелгі деректері — иесі жеке криптографиялық кілтке ие екенін дәлелдеусіз пайдалана алатын деректер, және бұл — RFC 6750 токендер үшін белгілейтін айырмашылық. Бұл салыстыру, нөмірге негізделген қызмет OAuth іске асырады деген тұжырым емес. Егер иесіне басқа ештеңе қажет болмаса, нөмірді bearer құпиясы ретінде қарастырып, дизайнның қалғанын соған сәйкес жіктеңіз.

Оны сілтеме емес, құпия ретінде қорғаңыз

Сақтау жіктеуден туындайды. Кіруге арналған мән құпиясөз менеджерінде болуы керек, скриншотта, алмасу буферінің тарихында, чат хабарламасында немесе браузер жазбасында емес. Скриншоттар — әдеттегі ағып кету: нөмір қысқа және зиянсыз көрінеді, сондықтан ол шыққан құрылғыдан ұзақ өмір сүретін қолдау тақырыбына түседі.

Фишинг — екінші ақау режимі, және оған нөмірдің қаншалықты кездейсоқ екені бәрібір. Мәнді қалайтын алаяқ оны формаға қоюды сұрайды, ал ешқашан мерзімі бітпейтін және екінші факторы жоқ тіркелгі деректері күш салуға тұрарлық. Кіру жолына бетбелгі немесе таныс мекенжай арқылы жетіңіз, нөмірді де сұрайтын хабарламадағы сілтеме арқылы емес.

Қалпына келтіру материалын құпияның бөлігі ретінде қарастырыңыз. Егер оператор қалпына келтіру кодын, PIN немесе шотты қалпына келтіруге болатын электрондық пошта мекенжайын берсе, бұл — сол қорғау талабы бар жеке тіркелгі деректері. Бір қорғалмаған қалпына келтіру арнасы барлық басқа бақылауды әшекейге айналдырады.

Болжауға төзімділік пен жылдамдық шектеуін бірге тексеріңіз

Ұзындық тек генерациялау әдісімен қатар мағыналы. Болжамды реттіліктен шыққан ұзын нөмір криптографиялық генератордан шыққан қысқа мәннен әлсіз, ал әсерлі цифр саны болжаусыздықты дәлелдемейді. Мәнді қалай генерациялайтынын сұраңыз, оны табу қаншалықты қиын деп ойламас бұрын.

Болжауға төзімділіктің өзі де шексіз әрекет жылдамдығына төтеп бермейді. Маңызды бақылаулар — оператор іске асыратындар: сәтсіз әрекеттер санауыштары, құлыптаулар, көзге сай шектеу және қате нөмірді жоқ нөмірден ажырату мүмкіндігі. Егер қызмет мұны қолдаса, бір сәтсіз әрекет қатенің қалай көрінетінін және қайталау санауышының пайда болуын көрсетеді:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

Жауаптың нені ашатынын жазып алыңыз. Белгісіз шот үшін бөлек қате — нөмірді табу мүмкін болмаса да санамалау оракулы, және бұл тұжырым клиент жағында түзету мүмкіндігіне қарамастан хаттамаға жатады.

Айналым мен қайтарып алуды қажет болмай тұрып жоспарлаңыз

Жоғалған немесе ашылған нөмір үшін қолдау көрсетілетін процесті тауып, бәрі жұмыс істеп тұрғанда жазыңыз. Шоттың тіркелгі деректерін мүлде ауыстыруға бола ма? Ауыстыру бұрын тіркелген құрылғыларды, белсенді сессияларды немесе жүктелген конфигурацияны жарамсыз ете ме? Процесс қандай қалпына келтіру материалын талап етеді? Электрондық поштаға тәуелді емес қызмет пайдаланушыға қалпына келтіру жауапкершілігін көбірек жүктеуі мүмкін, бұл процедураны маңыздырақ етеді, кем емес.

Шотты ауыстыруды тіркелгі деректерін қайтарып алудан бөліңіз. Егер нөмір кілтті, сертификатты немесе профильді жүктеуге өкілеттік берсе, нөмірді ауыстыру жүктелген материалды жарамды қалдыруы мүмкін, ал жүктелген материалды қайтарып алу басқа иесі бар басқа операция болуы мүмкін. Бір өзгерген өріс барлық қосылымды тоқтатады деп ойламаңыз; оператордың нақты моделін тексеріп, қайда растағаныңызды белгілеңіз.

Шешімді құжаттап, кейін қайта тексеріңіз

Әр қызмет үшін бір беттік хаттама жүргізіңіз: нөмір қандай өкілеттіктер береді, қайда сақталады, кім қалпына келтіре алады, қандай пайдалану дәлелдері бар және ашылғаннан кейінгі бірінші сағатта не істейтініңізді жазыңыз. Дәл осы хаттама терминология туралы дауды біреу аудиттей алатын шешімге айналдырады.

Құпиялылық мәлімдемелерінің өз ауқымы болуы керек. Кездейсоқ генерацияланған нөмір уақыт бойынша шот оқиғаларын байланыстыратын тұрақты идентификатор болуы мүмкін; болжаусыздық — байланыссыздық емес, және екі қасиеттің ешқайсысы сақталған желілік метадеректер туралы ештеңе айтпайды. Толық дизайндарды салыстырыңыз, кіру экранындағы өрістерді санамаңыз.

Оны сақтамас бұрын:

  • Нөмір беретін барлық өкілеттіктер тізілген, жүктеулер мен құрылғы авторизациясын қоса.
  • Сақтау және қалпына келтіру арналары нөмірдің өзімен бірдей стандартпен қорғалған.
  • Генерациялау әдісі мен жылдамдық шектеулері белгілі, ұзындықтан болжанбаған.
  • Ауыстыру процедурасы мен қайтарып алу процедурасы бар және қайсысы қайсысын жоятынын білесіз.
  • Хаттама кім мәнді қалпына келтіре алатынын және пайдаланудан кейін қандай дәлелдер қалатынын көрсетеді.

Қатысты мақалалар