രഹസ്യ അക്കൗണ്ട് നമ്പർ ഒരു ക്രെഡൻഷ്യലായി കാണുക: അത് ഓഡിറ്റ് ചെയ്യുക

അക്കൗണ്ട് നമ്പർ എന്ന് ലേബൽ ചെയ്ത ഫീൽഡ് സ്വയം ഒരു പൊതു റഫറൻസല്ല, ലേബൽ പരീക്ഷയല്ല. പരീക്ഷ എന്നത് കൈവശാവകാശം എന്ത് അനുവദിക്കുന്നു എന്നതാണ്: നമ്പർ അറിയുന്നത് ആരെയെങ്കിലും സൈൻ ഇൻ ചെയ്യിക്കുന്നുവെങ്കിൽ, ഒരു കണക്ഷൻ പ്രൊഫൈൽ ഡൗൺലോഡ് ചെയ്യുന്നുവെങ്കിൽ അല്ലെങ്കിൽ ഒരു ഉപകരണം അംഗീകരിക്കുന്നുവെങ്കിൽ, ആ നമ്പർ ജീവിതചക്രമുള്ള ഒരു ക്രെഡൻഷ്യലാണ്. ഒരു സേവനം സംഖ്യാപരമായ ഐഡന്റിറ്റി നൽകി അതിനെ നിരുപദ്രവം എന്ന് വിളിക്കുമ്പോഴെല്ലാം ഞാൻ താഴെയുള്ള അഞ്ച് പരിശോധനകൾ നടത്തുന്നു. ഓരോന്നും ഒരു ചെറിയ രേഖയിൽ ഒരു വരി ഉണ്ടാക്കുന്നു, രേഖ തന്നെയാണ് ഫലം, ഉൽപ്പന്നത്തെക്കുറിച്ചുള്ള വിധിയല്ല.

കൈവശാവകാശം യഥാർത്ഥത്തിൽ എന്ത് നൽകുന്നു എന്ന് പട്ടികയിടുക

നമ്പർ തുറക്കുന്ന ഓരോ പ്രവർത്തനവും വെവ്വേറെ എഴുതുക. പോർട്ടലിൽ സൈൻ ഇൻ, കോൺഫിഗറേഷൻ ഫയൽ എടുക്കൽ, പുതിയ ഉപകരണം അംഗീകരിക്കൽ, അംഗീകരിച്ച ടണൽ സൈൻ ഇൻ നൽകൽ എന്നിവ വ്യത്യസ്ത അധികാരങ്ങളാണ്, സേവനത്തിന് ഒന്ന് മറ്റുള്ളവയില്ലാതെ നടപ്പാക്കാം. നമ്പറിനെ ഏക ഫീൽഡായി സ്വീകരിക്കുന്ന പോർട്ടൽ ഇതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല: ടണൽ അതിന്റെ സമാനിയെ എങ്ങനെ പ്രാമാണീകരിക്കുന്നു പിന്നീട്, അല്ലെങ്കിൽ ട്രാഫിക് കീകൾ എങ്ങനെ ഉരുത്തിരിയുന്നു.

പൊതു മാതൃക പറയാൻ എളുപ്പമാണ്: bearer ക്രെഡൻഷ്യൽ എന്നത് ഉടമസ്ഥന് പ്രത്യേക ക്രിപ്റ്റോഗ്രാഫിക് കീയുടെ കൈവശം തെളിയിക്കാതെ ഉപയോഗിക്കാവുന്നതാണ്, അതാണ് RFC 6750 ടോക്കണുകൾക്കായി വരയ്ക്കുന്ന വ്യത്യാസം. ഇത് ഒരു താരതമ്യമാണ്, സേവനം OAuth നടപ്പാക്കുന്നു എന്ന വാദമല്ല. ഉടമസ്ഥന് മറ്റൊന്നും ആവശ്യമില്ലെങ്കിൽ, നമ്പറിനെ bearer രഹസ്യമായി കാണുകയും ബാക്കി രൂപകൽപ്പന അതനുസരിച്ച് തരംതിരിക്കുകയും ചെയ്യുക.

അതിനെ റഫറൻസ് പോലെയല്ല, രഹസ്യം പോലെ സംരക്ഷിക്കുക

സംഭരണം തരംതിരിക്കലിൽ നിന്ന് വരുന്നു. സൈൻ ഇൻ ചെയ്യിക്കുന്ന മൂല്യം പാസ്‌വേഡ് മാനേജരിൽ ആയിരിക്കണം, സ്ക്രീൻഷോട്ട്, ക്ലിപ്പ്ബോർഡ് ചരിത്രം, ചാറ്റ് സന്ദേശം അല്ലെങ്കിൽ ബ്രൗസർ കുറിപ്പിൽ അല്ല. സ്ക്രീൻഷോട്ടുകൾ സാധാരണ ചോർച്ചയാണ്: നമ്പർ ചെറുതാണ്, നിരുപദ്രവമായി തോന്നുന്നു, അതിനാൽ അത് വന്ന ഉപകരണത്തെക്കാൾ കൂടുതൽ കാലം ജീവിക്കുന്ന പിന്തുണ ത്രെഡിൽ എത്തുന്നു.

ഫിഷിംഗ് രണ്ടാമത്തെ പരാജയ മാതൃകയാണ്, നമ്പർ എത്ര യാദൃച്ഛികമാണ് എന്നത് അതിന് പ്രശ്നമല്ല. മൂല്യം ആഗ്രഹിക്കുന്ന തട്ടിപ്പുകാരൻ അത് ഒരു ഫോമിൽ ഒട്ടിക്കാൻ ആവശ്യപ്പെടും, ഒരിക്കലും കാലഹരണപ്പെടാത്ത, രണ്ടാം ഘടകമില്ലാത്ത ക്രെഡൻഷ്യൽ ശ്രമത്തിന് അർഹമാണ്. സൈൻ ഇൻ പാത ബുക്ക്മാർക്ക് അല്ലെങ്കിൽ അറിയപ്പെടുന്ന വിലാസത്തിലൂടെ എത്തുക, നമ്പറും ആവശ്യപ്പെടുന്ന സന്ദേശത്തിലെ ലിങ്കിലൂടെ അല്ല.

വീണ്ടെടുപ്പ് സാമഗ്രികളെ രഹസ്യത്തിന്റെ ഭാഗമായി കാണുക. ഓപ്പറേറ്റർ വീണ്ടെടുപ്പ് കോഡ്, PIN അല്ലെങ്കിൽ അക്കൗണ്ട് റീസെറ്റ് ചെയ്യാവുന്ന ഇമെയിൽ വിലാസവും നൽകിയിട്ടുണ്ടെങ്കിൽ, അവ ഒരേ സംരക്ഷണ ആവശ്യകതയുള്ള വെവ്വേറെ ക്രെഡൻഷ്യലുകളാണ്. ഒരു അസുരക്ഷിത റീസെറ്റ് ചാനൽ ബാക്കിയുള്ള എല്ലാ നിയന്ത്രണങ്ങളെയും അലങ്കാരമാക്കുന്നു.

ഊഹ പ്രതിരോധവും നിരക്ക് പരിധിയും ഒരുമിച്ച് പരിശോധിക്കുക

നീളം ഉൽപ്പാദന രീതിയുടെ അടുത്ത് മാത്രമേ അർത്ഥവത്താകൂ. മുൻകൂട്ടി പറയാവുന്ന ക്രമത്തിൽ നിന്ന് വന്ന നീളമുള്ള നമ്പർ ക്രിപ്റ്റോഗ്രാഫിക് ജനറേറ്ററിൽ നിന്ന് വന്ന ചെറിയ മൂല്യത്തേക്കാൾ ദുർബലമാണ്, ആകർഷകമായ അക്കങ്ങളുടെ എണ്ണം അപ്രവചനീയത തെളിയിക്കുന്നില്ല. മൂല്യം എങ്ങനെ ഉൽപ്പാദിപ്പിക്കുന്നു എന്ന് ചോദിക്കുക, അത് ഊഹിക്കാൻ എത്ര ബുദ്ധിമുട്ടാണെന്ന് ചിന്തിക്കുന്നതിന് മുമ്പ്.

ഊഹ പ്രതിരോധം മാത്രവും പരിധിയില്ലാത്ത ശ്രമ നിരക്കിനെ താങ്ങില്ല. പ്രധാന നിയന്ത്രണങ്ങൾ ഓപ്പറേറ്റർ നടപ്പാക്കുന്നവയാണ്: പരാജയ ശ്രമ കൗണ്ടറുകൾ, ലോക്കൗട്ടുകൾ, ഉറവിട അടിസ്ഥാനത്തിലുള്ള ത്രോട്ട്ലിംഗ്, തെറ്റായ നമ്പർ നിലവിലില്ലാത്തതിൽ നിന്ന് വേർതിരിക്കാമോ എന്നത്. സേവനം ഇത് പിന്തുണയ്ക്കുന്നുവെങ്കിൽ, ഒരു പരാജയ ശ്രമം പിശക് എങ്ങനെയിരിക്കും, വീണ്ടും ശ്രമ കൗണ്ടർ പ്രത്യക്ഷപ്പെടുന്നുണ്ടോ എന്ന് കാണിക്കും:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

പ്രതികരണം എന്ത് വെളിപ്പെടുത്തുന്നു എന്ന് രേഖപ്പെടുത്തുക. അജ്ഞാത അക്കൗണ്ടിനുള്ള പ്രത്യേക പിശക് എണ്ണൽ ഓറക്കിളാണ്, നമ്പർ ഊഹിക്കാൻ അസാധ്യമായിരുന്നാലും, ഈ കണ്ടെത്തൽ രേഖയുടെ ഭാഗമാണ്, ക്ലയന്റ് ഭാഗത്ത് നിന്ന് പരിഹരിക്കാമോ ഇല്ലയോ എന്നത് പരിഗണിക്കാതെ.

ഭ്രമണവും റദ്ദാക്കലും ആവശ്യത്തിന് മുമ്പ് ആസൂത്രണം ചെയ്യുക

നഷ്ടപ്പെട്ടതോ വെളിപ്പെട്ടതോ ആയ നമ്പറിനുള്ള പിന്തുണയുള്ള നടപടിക്രമം കണ്ടെത്തി എല്ലാം പ്രവർത്തിക്കുമ്പോൾ എഴുതുക. അക്കൗണ്ടിന്റെ ക്രെഡൻഷ്യൽ മാറ്റാൻ കഴിയുമോ? മാറ്റം ഇതിനകം രജിസ്റ്റർ ചെയ്ത ഉപകരണങ്ങൾ, സജീവ സെഷനുകൾ അല്ലെങ്കിൽ ഡൗൺലോഡ് ചെയ്ത കോൺഫിഗറേഷൻ അസാധുവാക്കുന്നുണ്ടോ? നടപടിക്രമം ഏത് വീണ്ടെടുപ്പ് സാമഗ്രി ആവശ്യപ്പെടുന്നു? ഇമെയിൽ ആശ്രിതത്വമില്ലാത്ത സേവനം ഉപയോക്താവിന് കൂടുതൽ വീണ്ടെടുപ്പ് ഉത്തരവാദിത്തം കൈമാറാം, ഇത് നടപടിക്രമത്തെ കൂടുതൽ പ്രധാനമാക്കുന്നു, കുറവല്ല.

അക്കൗണ്ട് മാറ്റത്തെ ക്രെഡൻഷ്യൽ റദ്ദാക്കലിൽ നിന്ന് വേർതിരിക്കുക. നമ്പർ ഒരു കീ, സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ പ്രൊഫൈൽ ഡൗൺലോഡ് ചെയ്യാൻ അധികാരം നൽകുന്നുവെങ്കിൽ, നമ്പർ മാറ്റുന്നത് ആ ഡൗൺലോഡ് സാമഗ്രി സാധുവായി നിലനിർത്താം, ഡൗൺലോഡ് സാമഗ്രി റദ്ദാക്കുന്നത് വേറെ ഉടമയുടെ വേറെ പ്രവർത്തനമായിരിക്കാം. മാറിയ ഒരു ഫീൽഡ് എല്ലാ കണക്ഷനും അവസാനിപ്പിക്കും എന്ന് കരുതരുത്; ഓപ്പറേറ്ററുടെ യഥാർത്ഥ മാതൃക പരിശോധിച്ച് എവിടെ സ്ഥിരീകരിച്ചു എന്ന് എഴുതുക.

തീരുമാനം രേഖപ്പെടുത്തി പിന്നീട് വീണ്ടും പരിശോധിക്കുക

ഓരോ സേവനത്തിനും ഒരു പേജ് രേഖ സൂക്ഷിക്കുക: നമ്പർ ഏത് അധികാരങ്ങൾ നൽകുന്നു, എവിടെ സംഭരിക്കുന്നു, ആർക്ക് അത് റീസെറ്റ് ചെയ്യാം, എന്ത് ഉപയോഗ തെളിവുകൾ ഉണ്ട്, വെളിപ്പെടുത്തലിന് ശേഷമുള്ള ആദ്യ മണിക്കൂറിൽ നിങ്ങൾ എന്ത് ചെയ്യും. ആ രേഖയാണ് പദാവലി ചർച്ചയെ ആർക്കെങ്കിലും ഓഡിറ്റ് ചെയ്യാവുന്ന തീരുമാനമാക്കി മാറ്റുന്നത്.

സ്വകാര്യതാ അവകാശവാദങ്ങൾക്ക് അവയുടെ സ്വന്തം പരിധി വേണം. യാദൃച്ഛികമായി ഉൽപ്പാദിപ്പിച്ച നമ്പർ ഇപ്പോഴും കാലക്രമത്തിൽ അക്കൗണ്ട് സംഭവങ്ങളെ ബന്ധിപ്പിക്കുന്ന സ്ഥിര ഐഡന്റിഫയറാകാം; അപ്രവചനീയത അ-ബന്ധനമല്ല, ഏത് ഗുണവും സൂക്ഷിച്ച നെറ്റ്‌വർക്ക് മെറ്റാഡാറ്റയെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. സൈൻ ഇൻ സ്ക്രീനിലെ ഫീൽഡുകൾ എണ്ണുന്നതിന് പകരം പൂർണ രൂപകൽപ്പനകൾ താരതമ്യം ചെയ്യുക.

അത് രേഖപ്പെടുത്തുന്നതിന് മുമ്പ്:

• നമ്പർ നൽകുന്ന എല്ലാ അധികാരങ്ങളും പട്ടികപ്പെടുത്തിയിട്ടുണ്ട്, ഡൗൺലോഡുകളും ഉപകരണ അംഗീകാരവും ഉൾപ്പെടെ.
• സംഭരണ, വീണ്ടെടുപ്പ് ചാനലുകൾ നമ്പറിന് തന്നെയുള്ള അതേ മാനദണ്ഡത്തിൽ സംരക്ഷിച്ചിരിക്കുന്നു.
• ഉൽപ്പാദന രീതിയും നിരക്ക് പരിധികളും അറിയാം, നീളത്തിൽ നിന്ന് അനുമാനിച്ചതല്ല.
• മാറ്റ നടപടിക്രമവും റദ്ദാക്കൽ നടപടിക്രമവും ഉണ്ട്, ഏത് ഏതിനെ റദ്ദാക്കുന്നു എന്ന് നിങ്ങൾക്കറിയാം.
• രേഖ ആർക്ക് മൂല്യം റീസെറ്റ് ചെയ്യാം, ഉപയോഗത്തിന് ശേഷം എന്ത് തെളിവുകൾ അവശേഷിക്കുന്നു എന്ന് പറയുന്നു.