Баталгаажуулагчийн дүрс буруу юу? Лого яагаад юу ч батлахгүй вэ
Дутуу лого нь таны хоёр дахь хүчин зүйл хэнд байгааг юу ч хэлэхгүй. Бүртгэлээр дамжуулан бүртгэлээ шалгаж, зургийг засахын тулд QR кодыг хэзээ ч бүү байршуул.
Брэндийн лого байх ёстой газар саарал дөрвөлжин харагдах нь түгшээдэг ч тэдгээр нь үйлдэл хийх ёсгүй зүйл юм. Баталгаажуулагчийн зурдаг зураг нь бүртгэл дэх шошгоноос гаралтай дэлгэцийн дэлгэрэнгүй мэдээлэл бөгөөд аюулгүй байдлын асуулт нь тэр бүртгэл дэх нууц таны бүртгэлд хамаарах эсэх юм. Энэ хоёрыг тусгаарлах нь гоо заслын засварыг бүртгэлийн мэдээллийн ослоос ялгадаг. Энэ нь байдлыг улам муутгадаг засварыг ч зогсоодог.
Дүрс ба нууц өөр өөр асуултад хариулдаг
Баталгаажуулагчийн бүртгэл нь бүртгэлийн шошго, гаргагчийн нэртэй хамт хуваалцсан нууцыг агуулсан түлхүүр URI-аас үүсдэг. Апп нь таньсан гаргагчаас лого зурдаг бөгөөд танигдаагүй эсвэл өөрчлөгдсөн гаргагч зүгээр л ерөнхий зураг гаргадаг. Тэр дэлгэцэд нууцын өөр хуулбар хэнд байгааг хэлэх зүйл байхгүй, зөв логод бүртгэл зөвхөн таных гэдгийг хэлэх зүйл байхгүй. Дэлгэцийг шошгын тухай сануулга гэж уншиж, хадгалалтын тухай мэдэгдэл гэж бүү үз.
Эсрэг нь ч үнэн бөгөөд энэ нь илүү аюултай чиглэл юм. Итгэл төрүүлэх лого нь дутуу логоноос ч бага зүйлийг баталдаг.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
Зургийг засахын тулд хэзээ ч дахин бүртгүүлэх хэрэггүй
Интернэтэд тархсан засвар нь QR кодыг дахин үүсгэх бөгөөд энэ нь нууцыг экспортлож өөр хэрэгслээр дамжуулахыг хэлнэ. Энэ нь дэлгэцийн асуудлыг ил болголт болгон хувиргадаг, учир нь экспортод халдагчид хүчинтэй код үүсгэхэд хэрэгтэй материал яг байдаг. Үүнийг вэб үүсгэгч рүү байршуулах нь илүү гоё дүрсний оронд хоёр дахь хүчин зүйлийг гуравдагч этгээдэд өгөх юм.
Хэрэв бүртгэл кодыг одоо ч баталгаажуулж байвал бүртгэл бүрэн бөгөөд дэлгэц нь гоо заслын асуудал юм. Гаргагчийн шошго, дүрс хайлтын талаар баталгаажуулагчийн өөрийн баримт бичгээс харж, бүртгэлийг хэвээр нь үлдээгээрэй. Лого тулгахын тулд шошгыг засах нь баталгаажуулалттай ямар ч холбоогүй шалтгаанаар бүртгэлд өөрчлөлт хийх явдал юм.
Анхны QR зургийг, түүхий түлхүүр URI-ыг болон гараар оруулсан аливаа нууцыг тасалбар, чатын урсгал, дэлгэцийн зураг, нийтийн асуудлын tracker-аас хол байлгаарай. Тохиргооны хуудасны дэлгэцийн зурагт авсан хүний санаж байснаас илүү зүйл байх нь элбэг.
Нууц үнэхээр илэрсэн үед
Ил болгоныг өөрийн хариу үйлдэлтэй тусдаа осол гэж үзээрэй. Шинэ баталгаажуулагч бүртгүүлэхийн тулд үйлчилгээний дэмжигдсэн солих процессийг ашиглаж, шинэ бүртгэл хүлээн зөвшөөрөгдөх код үүсгэж байгааг баталгаажуулаад, сервер дээрх хуучин бүртгэлийг цуцал. Бүртгэлийг локалаар устгах нь серверийн талын бүртгэлийг арилгахгүй тул илэрсэн нууц үйлчилгээнд өөрөөр мэдэгдэх хүртэл үргэлжлүүлэн ажиллаж болно. Эрсдэлийн ихэнх нь локал устгалт ба серверийн төлөвийн хоорондох энэ цоорхойд байдаг.
Энд дараалал чухал. Эхлээд орлуулагчийг бүртгэж, шалгаад, дараа нь л хуучныг нь хас, учир нь сүүлчийн хүчин зүйл алга болвол ихэнх үйлчилгээ таныг түгжинэ. Сэргээх код мөн энэ дараалалд хамаарна, учир нь утас боломжгүй үед тэдгээр нь нөөц зам юм.
Ижил нууц өөр газар ашиглагдсан эсэхийг шалгаарай. Үүсгэгч рүү буулгасан түлхүүр URI таны хяналтаас гарсан бөгөөд түүний ард байгаа бүртгэлийг бүртгэл солигдох хүртэл хуваалцсан гэж үзэх ёстой.
Дэмжлэгийн хүсэлтүүд код эсвэл тохиргооны материалгүйгээр харааны асуудлыг тайлбарлах ёстой. Бүртгэлтэй холбоотой бүхэн нийлүүлэгчийн баталгаажсан сувагт хамаарна, нийтийн урсгалд биш.
Устгахын өмнө сэргээх замаа хадгал
Ажиллаж байгаа аливаа бүртгэлийг хасахаас өмнө зөвшөөрөгдсөн сэргээх зам байгаа, та үүнийг ашиглаж чадна гэдгээ баталгаажуулаарай. Түгжээнд дуусах гоо заслын засвар нь буруу логоноос ч муу үр дүн бөгөөд цорын ганц бүртгэгдсэн төхөөрөмж нь засагдаж буй төхөөрөмж байхад түгжээ түгээмэл тохиолддог.
Хүлээн авах нөхцөл нарийн: бүртгэл ба баталгаажуулагчийн хоорондын баталгаажсан харилцаа, бүртгэлийн материалыг нууцаар хадгалах. Танил тэмдэг нь энэ нөхцлийн хэсэг биш бөгөөд түүний дутагдал нь эвдрэлийн баталгаа биш.
Түлхүүр URI-ийн формат өөрөө Google Authenticator-ийн түлхүүр URI-ийн тодорхойлолт-д баримтлагдсан бөгөөд ачаалал нь лого биш нууц агуулдаг гэдгийг ч сануулдаг. Алдаж болохгүй бүртгэлээс ямар нэг зүйлийг экспортлохын өмнө түүнийг уншаарай.