ರಹಸ್ಯ ಖಾತೆ ಸಂಖ್ಯೆಯನ್ನು ರುಜುವಾತು ಪತ್ರವಾಗಿ ಪರಿಗಣಿಸಿ: ಅದನ್ನು ಆಡಿಟ್ ಮಾಡಿ

ಖಾತೆ ಸಂಖ್ಯೆ ಎಂದು ಲೇಬಲ್ ಮಾಡಿದ ಕ್ಷೇತ್ರ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸಾರ್ವಜನಿಕ ಉಲ್ಲೇಖವಲ್ಲ, ಮತ್ತು ಲೇಬಲ್ ಪರೀಕ್ಷೆಯಲ್ಲ. ಪರೀಕ್ಷೆ ಎಂದರೆ ಒಡೆತನ ಏನನ್ನು ಅನುಮತಿಸುತ್ತದೆ: ಸಂಖ್ಯೆ ತಿಳಿದರೆ ಯಾರಾದರೂ ಸೈನ್ ಇನ್ ಆದರೆ, ಸಂಪರ್ಕ ಪ್ರೊಫೈಲ್ ಡೌನ್‌ಲೋಡ್ ಆದರೆ ಅಥವಾ ಸಾಧನ ಅಧಿಕೃತಗೊಂಡರೆ, ಆ ಸಂಖ್ಯೆ ಜೀವನಚಕ್ರವಿರುವ ರುಜುವಾತು ಪತ್ರ. ಸೇವೆ ಸಂಖ್ಯಾತ್ಮಕ ಗುರುತನ್ನು ನೀಡಿ ಅದನ್ನು ಹಾನಿಕರವಲ್ಲ ಎಂದು ಕರೆಯುವ ಪ್ರತಿ ಬಾರಿ ನಾನು ಕೆಳಗಿನ ಐದು ಪರಿಶೀಲನೆಗಳನ್ನು ಮಾಡುತ್ತೇನೆ. ಪ್ರತಿಯೊಂದೂ ಸಣ್ಣ ದಾಖಲೆಯಲ್ಲಿ ಒಂದು ಸಾಲು ಸೃಷ್ಟಿಸುತ್ತದೆ, ದಾಖಲೆಯೇ ಫಲಿತಾಂಶ, ಉತ್ಪನ್ನದ ಬಗ್ಗೆ ತೀರ್ಪಲ್ಲ.

ಒಡೆತನ ನಿಜವಾಗಿ ಏನನ್ನು ನೀಡುತ್ತದೆ ಎಂಬುದನ್ನು ಪಟ್ಟಿ ಮಾಡಿ

ಸಂಖ್ಯೆ ತೆರೆಯುವ ಪ್ರತಿ ಕ್ರಿಯೆಯನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಬರೆಯಿರಿ. ಪೋರ್ಟಲ್‌ನಲ್ಲಿ ಸೈನ್ ಇನ್, ಸಂರಚನೆ ಫೈಲ್ ಪಡೆಯುವುದು, ಹೊಸ ಸಾಧನ ಅಧಿಕೃತಗೊಳಿಸುವುದು ಮತ್ತು ಅಂಗೀಕೃತ ಟನೆಲ್ ಸೈನ್ ಇನ್ ನೀಡುವುದು ಬೇರೆ ಬೇರೆ ಅಧಿಕಾರಗಳು, ಸೇವೆ ಒಂದನ್ನು ಉಳಿದವಿಲ್ಲದೆ ಜಾರಿಗೊಳಿಸಬಹುದು. ಸಂಖ್ಯೆಯನ್ನು ಏಕೈಕ ಕ್ಷೇತ್ರವಾಗಿ ಸ್ವೀಕರಿಸುವ ಪೋರ್ಟಲ್ ಇದರ ಬಗ್ಗೆ ಏನೂ ಹೇಳುವುದಿಲ್ಲ: ಟನೆಲ್ ತನ್ನ ಸಹಚರನನ್ನು ಹೇಗೆ ದೃಢೀಕರಿಸುತ್ತದೆ ನಂತರ, ಅಥವಾ ಸಂಚಾರ ಕೀಗಳನ್ನು ಹೇಗೆ ಪಡೆಯಲಾಗುತ್ತದೆ.

ಸಾಮಾನ್ಯ ಮಾದರಿಯನ್ನು ಹೇಳುವುದು ಸುಲಭ: bearer ರುಜುವಾತು ಪತ್ರ ಎಂದರೆ ಹೊಂದಿರುವವರು ಪ್ರತ್ಯೇಕ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಕೀ ಒಡೆತನವನ್ನು ಸಾಬೀತುಪಡಿಸದೆ ಬಳಸಬಹುದಾದುದು, ಮತ್ತು ಅದೇ RFC 6750 ಟೋಕೆನ್‌ಗಳಿಗಾಗಿ ಎಳೆಯುವ ಭೇದ. ಇದು ಹೋಲಿಕೆ, ಸೇವೆ OAuth ಜಾರಿಗೊಳಿಸುತ್ತದೆ ಎಂಬ ವಾದವಲ್ಲ. ಹೊಂದಿರುವವರಿಗೆ ಬೇರೆ ಏನೂ ಬೇಕಿಲ್ಲದಿದ್ದರೆ, ಸಂಖ್ಯೆಯನ್ನು bearer ರಹಸ್ಯವಾಗಿ ಪರಿಗಣಿಸಿ ಉಳಿದ ವಿನ್ಯಾಸವನ್ನು ಅದಕ್ಕನುಗುಣವಾಗಿ ವರ್ಗೀಕರಿಸಿ.

ಅದನ್ನು ಉಲ್ಲೇಖದಂತೆ ಅಲ್ಲ, ರಹಸ್ಯದಂತೆ ರಕ್ಷಿಸಿ

ಸಂಗ್ರಹ ವರ್ಗೀಕರಣದಿಂದ ಬರುತ್ತದೆ. ಸೈನ್ ಇನ್ ಮಾಡಿಸುವ ಮೌಲ್ಯ ಪಾಸ್‌ವರ್ಡ್ ನಿರ್ವಾಹಕದಲ್ಲಿರಬೇಕು, ಸ್ಕ್ರೀನ್‌ಶಾಟ್, ಕ್ಲಿಪ್‌ಬೋರ್ಡ್ ಇತಿಹಾಸ, ಚಾಟ್ ಸಂದೇಶ ಅಥವಾ ಬ್ರೌಸರ್ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಅಲ್ಲ. ಸ್ಕ್ರೀನ್‌ಶಾಟ್‌ಗಳು ಸಾಮಾನ್ಯ ಸೋರಿಕೆ: ಸಂಖ್ಯೆ ಚಿಕ್ಕದು ಮತ್ತು ಹಾನಿಕರವಲ್ಲದಂತೆ ಕಾಣುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದು ಬಂದ ಸಾಧನಕ್ಕಿಂತ ಹೆಚ್ಚು ಕಾಲ ಬದುಕುವ ಬೆಂಬಲ ಎಳೆಯಲ್ಲಿ ಸೇರುತ್ತದೆ.

ಫಿಷಿಂಗ್ ಎರಡನೇ ವೈಫಲ್ಯ ವಿಧಾನ, ಸಂಖ್ಯೆ ಎಷ್ಟು ಯಾದೃಚ್ಛಿಕ ಎಂಬುದು ಅದಕ್ಕೆ ಪರವಾಗಿಲ್ಲ. ಮೌಲ್ಯ ಬೇಕಾದ ಮೋಸಗಾರ ಅದನ್ನು ಫಾರ್ಮ್‌ನಲ್ಲಿ ಅಂಟಿಸಲು ಕೇಳುತ್ತಾನೆ, ಎಂದೂ ಮುಗಿಯದ, ಎರಡನೇ ಅಂಶವಿಲ್ಲದ ರುಜುವಾತು ಪತ್ರ ಪ್ರಯತ್ನಕ್ಕೆ ಯೋಗ್ಯ. ಸೈನ್ ಇನ್ ಮಾರ್ಗವನ್ನು ಬುಕ್‌ಮಾರ್ಕ್ ಅಥವಾ ತಿಳಿದ ವಿಳಾಸದಿಂದ ತಲುಪಿ, ಸಂಖ್ಯೆಯನ್ನೂ ಕೇಳುವ ಸಂದೇಶದ ಕೊಂಡಿಯಿಂದ ಅಲ್ಲ.

ಮರುಪ್ರಾಪ್ತಿ ಸಾಮಗ್ರಿಯನ್ನು ರಹಸ್ಯದ ಭಾಗವಾಗಿ ಪರಿಗಣಿಸಿ. ನಿರ್ವಾಹಕರು ಮರುಪ್ರಾಪ್ತಿ ಕೋಡ್, PIN ಅಥವಾ ಖಾತೆಯನ್ನು ಮರುಹೊಂದಿಸಬಲ್ಲ ಇಮೇಲ್ ವಿಳಾಸವನ್ನೂ ನೀಡಿದ್ದರೆ, ಅವು ಅದೇ ರಕ್ಷಣಾ ಅಗತ್ಯವಿರುವ ಪ್ರತ್ಯೇಕ ರುಜುವಾತು ಪತ್ರಗಳು. ಒಂದು ಅಸುರಕ್ಷಿತ ಮರುಹೊಂದಿಕೆ ಚಾನೆಲ್ ಉಳಿದ ಎಲ್ಲಾ ನಿಯಂತ್ರಣಗಳನ್ನು ಅಲಂಕಾರವಾಗಿಸುತ್ತದೆ.

ಊಹೆ ನಿರೋಧ ಮತ್ತು ದರ ಮಿತಿಯನ್ನು ಒಟ್ಟಿಗೆ ಪರಿಶೀಲಿಸಿ

ಉದ್ದವು ಉತ್ಪಾದನಾ ವಿಧಾನದ ಪಕ್ಕದಲ್ಲಿ ಮಾತ್ರ ಅರ್ಥಪೂರ್ಣ. ಮುನ್ಸೂಚನೀಯ ಕ್ರಮದಿಂದ ಬಂದ ದೀರ್ಘ ಸಂಖ್ಯೆ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಜನರೇಟರ್‌ನಿಂದ ಬಂದ ಚಿಕ್ಕ ಮೌಲ್ಯಕ್ಕಿಂತ ದುರ್ಬಲ, ಮತ್ತು ಪ್ರಭಾವಶಾಲಿ ಅಂಕಿಗಳ ಸಂಖ್ಯೆ ಅನೂಹ್ಯತೆಯನ್ನು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಮೌಲ್ಯ ಹೇಗೆ ಉತ್ಪಾದನೆಯಾಗುತ್ತದೆ ಎಂದು ಕೇಳಿ, ಅದನ್ನು ಊಹಿಸುವುದು ಎಷ್ಟು ಕಷ್ಟ ಎಂದು ಯೋಚಿಸುವ ಮೊದಲು.

ಊಹೆ ನಿರೋಧ ಮಾತ್ರವೂ ಅಪರಿಮಿತ ಪ್ರಯತ್ನ ದರವನ್ನು ತಡೆಯುವುದಿಲ್ಲ. ಮುಖ್ಯ ನಿಯಂತ್ರಣಗಳು ನಿರ್ವಾಹಕರು ಜಾರಿಗೊಳಿಸುವಂಥವು: ವಿಫಲ ಪ್ರಯತ್ನಗಳ ಕೌಂಟರ್‌ಗಳು, ಲಾಕ್‌ಔಟ್‌ಗಳು, ಮೂಲವಾರು ಥ್ರಾಟ್ಲಿಂಗ್, ಮತ್ತು ತಪ್ಪು ಸಂಖ್ಯೆಯನ್ನು ಅಸ್ತಿತ್ವದಲ್ಲಿಲ್ಲದ್ದರಿಂದ ಬೇರ್ಪಡಿಸಬಹುದೇ ಎಂಬುದು. ಸೇವೆ ಇದನ್ನು ಬೆಂಬಲಿಸಿದರೆ, ಒಂದು ವಿಫಲ ಪ್ರಯತ್ನ ದೋಷ ಹೇಗಿದೆ ಮತ್ತು ಮರುಪ್ರಯತ್ನ ಕೌಂಟರ್ ಕಾಣಿಸುತ್ತದೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

ಪ್ರತಿಕ್ರಿಯೆ ಏನನ್ನು ಬಹಿರಂಗಪಡಿಸುತ್ತದೆ ಎಂದು ದಾಖಲಿಸಿ. ಅಜ್ಞಾತ ಖಾತೆಗೆ ಪ್ರತ್ಯೇಕ ದೋಷ ಎಣಿಕೆಯ ಒರಾಕಲ್, ಸಂಖ್ಯೆಯನ್ನು ಊಹಿಸಲು ಅಸಾಧ್ಯವಾದರೂ, ಮತ್ತು ಈ ಕಂಡುಹಿಡಿಯುವಿಕೆ ದಾಖಲೆಗೆ ಸೇರಿದ್ದು, ನೀವು ಕ್ಲೈಂಟ್ ಕಡೆಯಿಂದ ಸರಿಪಡಿಸಬಹುದಾದರೂ.

ಪರಿಭ್ರಮಣೆ ಮತ್ತು ರದ್ದತಿಯನ್ನು ಅಗತ್ಯಕ್ಕಿಂತ ಮೊದಲು ಯೋಜಿಸಿ

ಕಳೆದುಹೋದ ಅಥವಾ ಬಹಿರಂಗವಾದ ಸಂಖ್ಯೆಗೆ ಬೆಂಬಲಿತ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಹುಡುಕಿ ಮತ್ತು ಎಲ್ಲವೂ ಕೆಲಸ ಮಾಡುತ್ತಿರುವಾಗ ಬರೆಯಿರಿ. ಖಾತೆಯ ರುಜುವಾತು ಪತ್ರವನ್ನು ಬದಲಾಯಿಸಬಹುದೇ? ಬದಲಾವಣೆ ಈಗಾಗಲೇ ನೋಂದಾಯಿತ ಸಾಧನಗಳು, ಸಕ್ರಿಯ ಅಧಿವೇಶನಗಳು ಅಥವಾ ಡೌನ್‌ಲೋಡ್ ಮಾಡಿದ ಸಂರಚನೆಯನ್ನು ಅಸಿಂಧುಗೊಳಿಸುತ್ತದೆಯೇ? ಪ್ರಕ್ರಿಯೆ ಯಾವ ಮರುಪ್ರಾಪ್ತಿ ಸಾಮಗ್ರಿಯನ್ನು ಬೇಡುತ್ತದೆ? ಇಮೇಲ್ ಅವಲಂಬನೆ ಇಲ್ಲದ ಸೇವೆ ಬಳಕೆದಾರರಿಗೆ ಹೆಚ್ಚು ಮರುಪ್ರಾಪ್ತಿ ಜವಾಬ್ದಾರಿಯನ್ನು ವರ್ಗಾಯಿಸಬಹುದು, ಇದು ಪ್ರಕ್ರಿಯೆಯನ್ನು ಹೆಚ್ಚು ಮುಖ್ಯವಾಗಿಸುತ್ತದೆ, ಕಡಿಮೆಯಲ್ಲ.

ಖಾತೆ ಬದಲಾವಣೆಯನ್ನು ರುಜುವಾತು ಪತ್ರ ರದ್ದತಿಯಿಂದ ಬೇರ್ಪಡಿಸಿ. ಸಂಖ್ಯೆ ಕೀ, ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ ಪ್ರೊಫೈಲ್ ಡೌನ್‌ಲೋಡ್‌ಗೆ ಅಧಿಕಾರ ನೀಡಿದರೆ, ಸಂಖ್ಯೆ ಬದಲಾಯಿಸುವುದು ಆ ಡೌನ್‌ಲೋಡ್ ಸಾಮಗ್ರಿಯನ್ನು ಮಾನ್ಯವಾಗಿ ಬಿಡಬಹುದು, ಮತ್ತು ಡೌನ್‌ಲೋಡ್ ಸಾಮಗ್ರಿ ರದ್ದುಗೊಳಿಸುವುದು ಬೇರೆ ಮಾಲೀಕನ ಬೇರೆ ಕಾರ್ಯಾಚರಣೆಯಾಗಿರಬಹುದು. ಒಂದು ಬದಲಾದ ಕ್ಷೇತ್ರ ಪ್ರತಿ ಸಂಪರ್ಕವನ್ನು ಕೊನೆಗೊಳಿಸುತ್ತದೆ ಎಂದು ಭಾವಿಸಬೇಡಿ; ನಿರ್ವಾಹಕರ ನಿಜವಾದ ಮಾದರಿಯನ್ನು ಪರಿಶೀಲಿಸಿ ಮತ್ತು ಎಲ್ಲಿ ಪರಿಶೀಲಿಸಿದಿರಿ ಎಂದು ಬರೆಯಿರಿ.

ನಿರ್ಧಾರವನ್ನು ದಾಖಲಿಸಿ ಮತ್ತು ನಂತರ ಮತ್ತೆ ಪರಿಶೀಲಿಸಿ

ಪ್ರತಿ ಸೇವೆಗೆ ಒಂದು ಪುಟದ ದಾಖಲೆ ಇರಿಸಿ: ಸಂಖ್ಯೆ ಯಾವ ಅಧಿಕಾರ ನೀಡುತ್ತದೆ, ಎಲ್ಲಿ ಸಂಗ್ರಹವಾಗಿದೆ, ಯಾರು ಅದನ್ನು ಮರುಹೊಂದಿಸಬಹುದು, ಯಾವ ಬಳಕೆಯ ಸಾಕ್ಷ್ಯಗಳಿವೆ ಮತ್ತು ಬಹಿರಂಗದ ನಂತರ ಮೊದಲ ಗಂಟೆಯಲ್ಲಿ ನೀವು ಏನು ಮಾಡುತ್ತೀರಿ. ಆ ದಾಖಲೆಯೇ ಪಾರಿಭಾಷಿಕ ಚರ್ಚೆಯನ್ನು ಯಾರಾದರೂ ಆಡಿಟ್ ಮಾಡಬಹುದಾದ ನಿರ್ಧಾರವಾಗಿ ಬದಲಿಸುತ್ತದೆ.

ಗೋಪ್ಯತೆಯ ವಾದಗಳಿಗೆ ತಮ್ಮದೇ ವ್ಯಾಪ್ತಿ ಬೇಕು. ಯಾದೃಚ್ಛಿಕವಾಗಿ ಉತ್ಪಾದಿಸಿದ ಸಂಖ್ಯೆ ಇನ್ನೂ ಕಾಲಾನುಕ್ರಮದಲ್ಲಿ ಖಾತೆ ಘಟನೆಗಳನ್ನು ಜೋಡಿಸುವ ಸ್ಥಿರ ಗುರುತಾಗಿರಬಹುದು; ಅನೂಹ್ಯತೆ ಅ-ಸಂಪರ್ಕವಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಗುಣ ಸಂಗ್ರಹವಾದ ನೆಟ್‌ವರ್ಕ್ ಮೆಟಾಡೇಟಾ ಬಗ್ಗೆ ಏನೂ ಹೇಳುವುದಿಲ್ಲ. ಪೂರ್ಣ ವಿನ್ಯಾಸಗಳನ್ನು ಹೋಲಿಸಿ, ಸೈನ್ ಇನ್ ಪರದೆಯ ಕ್ಷೇತ್ರಗಳನ್ನು ಎಣಿಸುವ ಬದಲು.

ಅದನ್ನು ದಾಖಲಿಸುವ ಮೊದಲು:

• ಸಂಖ್ಯೆ ನೀಡುವ ಎಲ್ಲಾ ಅಧಿಕಾರಗಳು ಪಟ್ಟಿಯಾಗಿವೆ, ಡೌನ್‌ಲೋಡ್‌ಗಳು ಮತ್ತು ಸಾಧನ ಅಧಿಕಾರ ಸೇರಿದಂತೆ.
• ಸಂಗ್ರಹ ಮತ್ತು ಮರುಪ್ರಾಪ್ತಿ ಚಾನೆಲ್‌ಗಳು ಸಂಖ್ಯೆಗೇ ಇರುವ ಅದೇ ಮಾನದಂಡದಿಂದ ರಕ್ಷಿಸಲ್ಪಟ್ಟಿವೆ.
• ಉತ್ಪಾದನಾ ವಿಧಾನ ಮತ್ತು ದರ ಮಿತಿಗಳು ತಿಳಿದಿವೆ, ಉದ್ದದಿಂದ ಊಹಿಸಲ್ಪಟ್ಟಿಲ್ಲ.
• ಬದಲಾವಣೆ ಪ್ರಕ್ರಿಯೆ ಮತ್ತು ರದ್ದತಿ ಪ್ರಕ್ರಿಯೆ ಇವೆ, ಮತ್ತು ಯಾವುದು ಯಾವುದನ್ನು ರದ್ದುಗೊಳಿಸುತ್ತದೆ ಎಂದು ನಿಮಗೆ ತಿಳಿದಿದೆ.
• ದಾಖಲೆ ಯಾರು ಮೌಲ್ಯವನ್ನು ಮರುಹೊಂದಿಸಬಹುದು ಮತ್ತು ಬಳಕೆಯ ನಂತರ ಯಾವ ಸಾಕ್ಷ್ಯಗಳು ಉಳಿಯುತ್ತವೆ ಎಂದು ತಿಳಿಸುತ್ತದೆ.