Paroles e-pasts pierāda atgriezeniskumu, nevis shēmu

Pakalpojums, kas e-pastā nosūta lietotāja pašreizējo paroli, ir pierādījis vienu: tas spēj iegūt šo noslēpumu tādā formā, kādu spēj nosūtīt. Tas nav pierādījis, kura kolonna, algoritms vai bibliotēka to radīja. Šī atšķirība ir svarīga, jo atradums ir reāls un secinājums, ko cilvēki no tā izdara, parasti ir pārāk konkrēts. Atgriezeniskums kaut kur ceļā ir mehānisms; minēts glabāšanas formāts nav.

Turiet pierādījumus šajā līmenī, un pārējā pārskata daļa paliks precīza.

Ko pierāda vecā noslēpuma atsūtīšana atpakaļ

Vienvirziena pārbaudītājs nevar radīt sākotnējo paroli, jo tas ir veidots tā, lai nebūtu apgriežams. Ja pakalpojums var nosūtīt paroli e-pastā, tad tajā brīdī tam ir materiāls, no kura paroli var atgūt, vai tas pārtver un glabā atklāto tekstu pirms jaucējvērtības. Jebkurā gadījumā atgūšanas ceļš ir atgriezenisks, un tas ir īsts drošības atradums. Tas neko neizsaka par to, vai tā pati datubāze citām kolonnām izmanto dārgu jaucējvērtību.

Pievērsiet uzmanību arī starpgadījumam: glabāts šifrēts blobs ar lietotnes turētu atslēgu praksē ir atgriezenisks, lai gan vārds šifrēts ziņojumā skan nomierinoši.

Kāpēc tas ir dizaina atradums, nevis glabāšanas karte

E-pasts pierāda atgūstamību un nenorāda precīzu shēmu. Tas varētu būt atklāts teksts, deterministiska šifrēšana, piegādātāja aizmiglošanas rutīna vai atsevišķa akreditācijas datu krātuve, kas tiek izmantota tikai atgūšanai. Dažādas produkta daļas bieži izmanto atšķirīgu glabāšanu. Algoritma piedēvēšana, pamatojoties uz vienu e-pastu, ir tāda veida apgalvojums, kas sabrūk nākamajā sanāksmē.

Tas, ko varat teikt, ir šaurāk un noderīgāk: šis ceļš spēj atgūt noslēpumu, tāpēc produkts nevar apgalvot, ka nav atgūstamu akreditācijas datu. Viss pārējais prasa operatora pierādījumus.

Veidojiet atiestatīšanu ap autorizāciju

Atiestatīšana risina citu problēmu: pierādīt, ka pieprasītājs drīkst izvēlēties jaunu paroli. OWASP vadlīnijas par to apraksta droši ģenerētus vienreizējas lietošanas marķierus vai kodus ar atbilstošu derīguma termiņu un pieprasījuma posmu uzskata par kaut ko tādu, kas jāaizsargā no uzskaitīšanas un plūdu. Neautentificēts pieprasījums nedrīkst pats mainīt kontu. Pirms aizstājēja pieņemšanas validējiet autorizāciju un pēc vienas veiksmīgas lietošanas padariet marķieri neizmantojamu.

E-pasta kanāls ir drošības modeļa daļa. Konta nosaukuma piederēšana neko nepierāda, un atiestatīšanas plūsma, kas atklāj, vai konts pastāv, dod uzbrucējam katalogu darbam.

Padariet nederīgu to, ko parole aizsargāja

Paroles maiņa automātiski nebeidz tai piešķirto piekļuvi. Aktīvām VPN sesijām, atcerētām ierīcēm un servera izdotiem marķieriem katram var būt sava atcelšanas uzvedība. Apzināti izlemiet, kuriem no tiem jābeidzas, un pārbaudiet, vai ieviešana to dara, jo lietotājs, kurš pieņem, ka atiestatīšana viņu izrakstīja visur, bieži kļūdās. Pierakstiet šo lēmumu kopā ar plūsmu.

Operatoriem: dokumentējiet, kura komponente pārbauda pieprasījumu, kura maina akreditācijas datus un kā tiek apstrādātas saistītās sesijas. Lietotājiem: aizsargājiet likumīgo atgūšanas kanālu un uzskatiet jebkuru ziņojumu, kas atgriež paroli, par aizdomīgu.

Precīzais vērtējums ir īss: ko ziņojums pierāda, kas paliek nezināms un vai atgūšana aizstāj piekļuvi ar kontrolētu procesu.