Сырсөз жазылган кат кайтарылуучулукту далилдейт, схеманы эмес

Колдонуучунун учурдагы сырсөзүн электрондук почта аркылуу жөнөткөн кызмат бир нерсени далилдеди: ал бул сырды жөнөтө алган формада ала алат. Бирок аны кайсы мамыча, алгоритм же китепкана жаратканын далилдеген жок. Бул айырма маанилүү, анткени табылга чыныгы, ал эми адамдар андан чыгарган жыйынтык адатта өтө так болот. Жолдун бир жериндеги кайтарылуучулук — механизм; божомолдонгон сактоо форматы андай эмес.

Далилди ошол деңгээлде кармаңыз, кароонун калган бөлүгү так бойдон калат.

Эски сырды кайра жөнөтүү эмнени далилдейт

Бир багыттуу текшерүүчү баштапкы сырсөздү чыгара албайт, анткени ал кайтарылбай тургандай долбоорлонгон. Эгер кызмат сырсөздү почта аркылуу жөнөтө алса, анда ошол учурда ал сырсөздү калыбына келтирүүгө боло турган материалды кармайт, же хэштеөгө чейин ачык текстти кармап сактайт. Эки учурда тең калыбына келтирүү жолу кайтарылуучу, жана бул чыныгы коопсуздук табылгасы. Бул ошол эле маалымат базасынын башка мамычалар үчүн кымбат хэш колдонобу же жокпу тууралуу эч нерсе айтпайт.

Ортодукы учурга да көңүл буруңуз: тиркеме кармаган ачкыч менен сакталган шифрленген блок иш жүзүндө кайтарылуучу, отчетто шифрленген деген сөз тынчтандырарлык угулса да.

Эмне үчүн бул дизайн табылгасы, сактоо картасы эмес

Кат калыбына келтирүү мүмкүнчүлүгүн далилдейт жана так схеманы аныктабайт. Ал ачык текст, детерминдүү шифрлөө, жеткирүүчүнүн жашыруу процедурасы же калыбына келтирүү үчүн гана колдонулган өзүнчө эсептик дайындар кампасы болушу мүмкүн. Продукттун ар башка бөлүктөрү көбүнчө ар башка сактоону колдонот. Бир катка таянып алгоритмди ыйгаруу — кийинки жыйында кулай турган доо түрү.

Айта аларыңыз тар жана пайдалуураак: бул жол сырды калыбына келтире алат, ошондуктан продукт калыбына келтирилүүчү эсептик дайындар жок деп доолай албайт. Андан ары баары оператордун далилдерин талап кылат.

Калыбына келтирүүнү уруксаттоонун айланасында куруңуз

Калыбына келтирүү башка маселени чечет: сурап жаткан адам жаңы сырсөз тандай аларын далилдөө. Бул тууралуу OWASP көрсөтмөсү коопсуз жаралган, бир жолу колдонулуучу токендерди же коддорду тиешелүү мөөнөт менен сүрөттөйт жана суроо баскычын тизмелөө жана толуп кетүүдөн коргоо керек нерсе катары карайт. Аутентификацияланбаган суроо өз алдынча эсепти өзгөртпөшү керек. Алмаштырууну кабыл алуудан мурун уруксатты текшериңиз жана бир ийгиликтүү колдонуудан кийин токенди жараксыз кылыңыз.

Почта каналы коопсуздук моделинин бөлүгү. Эсептин атын ээлөө эч нерсени далилдебейт, ал эми эсеп барбы же жокпу ачып берген калыбына келтирүү агымы чабуулчуга иштөө үчүн багыт берет.

Сырсөз коргогон нерсени жараксыз кылыңыз

Сырсөздү өзгөртүү анын берген кирүү мүмкүнчүлүгүн автоматтык түрдө токтотпойт. Активдүү VPN сеанстарынын, эсте калган түзмөктөрдүн жана сервер чыгарган токендердин ар биринин өзүнүн жараксыздандыруу жүрүм-туруму болушу мүмкүн. Алардын кайсынысы бүтүшү керектигин атайын чечиңиз жана ишке ашыруу муну кыларын текшериңиз, анткени калыбына келтирүү аны бардык жерден чыгарды деп ойлогон колдонуучу көп учурда жаңылат. Бул чечимди агым менен бирге жазып коюңуз.

Операторлор үчүн: кайсы компонент суроону текшерерин, кайсысы эсептик дайындарды өзгөртөрүн жана байланыштуу сеанстар кантип иштетилерин документтештириңиз. Колдонуучулар үчүн: мыйзамдуу калыбына келтирүү каналын коргоңуз жана сырсөздү кайтарган ар кандай билдирүүнү шектүү деп караңыз.

Так баалоо кыска: билдирүү эмнени далилдейт, эмне белгисиз бойдон калат жана калыбына келтирүү көзөмөлдөнгөн процесс аркылуу кирүүнү алмаштырабы.