गुप्त खाते क्रमांकाला ओळखपत्र म्हणून घ्या: त्याचे ऑडिट करा

खाते क्रमांक असे नाव दिलेले क्षेत्र आपोआप सार्वजनिक संदर्भ नसते, आणि नाव ही चाचणी नसते। चाचणी म्हणजे ताबा कशाला परवानगी देतो: जर क्रमांक जाणून घेतल्याने कोणी साइन इन होत असेल, कनेक्शन प्रोफाइल डाउनलोड होत असेल किंवा उपकरण अधिकृत होत असेल, तर तो क्रमांक जीवनचक्र असलेले ओळखपत्र आहे। सेवा संख्यात्मक ओळख देऊन तिला हानीकारक नसल्याचे म्हणते तेव्हा मी खालील पाच तपासण्या करतो। प्रत्येक तपासणी थोड्या नोंदीत एक ओळ निर्माण करते, आणि नोंद हाच निकाल आहे, उत्पादनाबद्दलचा निर्णय नाही।

ताबा प्रत्यक्षात काय देतो याची यादी करा

क्रमांक जे जे कृती उघडते ती स्वतंत्रपणे लिहा। पोर्टलवर साइन इन, कॉन्फिगरेशन फाइल मिळवणे, नवीन उपकरण अधिकृत करणे आणि स्वीकारलेले टनल साइन इन देणे या वेगवेगळ्या अधिकार आहेत, आणि सेवा एकच इतरांशिवाय लागू करू शकते। क्रमांक एकमेव क्षेत्र म्हणून स्वीकारणारे पोर्टल हे सांगत नाही की टनल आपल्या सहकारीची पडताळणी कशी करते नंतर, किंवा ट्राफिक किल्ल्या कशा काढल्या जातात.

सामान्य प्रतिमान सांगणे सोपे आहे: bearer ओळखपत्र असे असते जे धारक स्वतंत्र क्रिप्टोग्राफिक किल्लीचा ताबा सिद्ध केल्याशिवाय वापरू शकतो, आणि हाच तो फरक आहे जो RFC 6750 टोकनसाठी ओढतो। ही तुलना आहे, सेवा OAuth लागू करते असा दावा नाही। जर धारकाला अजून काही नको असेल, तर क्रमांक bearer गुप्त माना आणि उर्वरित रचना त्यानुसार वर्गीकृत करा।

त्याला संदर्भाप्रमाणे नाही, गुप्ताप्रमाणे संरक्षित करा

साठवण वर्गीकरणातून येते। साइन इन करवणारे मूल्य पासवर्ड व्यवस्थापकात असते, स्क्रीनशॉट, क्लिपबोर्ड इतिहास, चॅट संदेश किंवा ब्राउझर टिपात नाही। स्क्रीनशॉट सामान्य गळती आहेत: क्रमांक लहान असतो आणि हानीकारक वाटत नाही, म्हणून तो ज्या उपकरणातून आला त्यापेक्षा जास्त जगणाऱ्या मदत धाग्यात पोहोचतो।

फिशिंग हा दुसरा अयशस्वी प्रकार आहे आणि क्रमांक किती अनियमित आहे याची त्याला पर्वा नाही। मूल्य हवे असलेला फसवणूक करणारा तुम्हाला ते फॉर्ममध्ये चिकटवायला सांगेल, आणि कधीही संपणारे नाही व दुसरा घटक नसलेले ओळखपत्र प्रयत्नाला योग्य आहे। साइन इनचा मार्ग बुकमार्क किंवा ज्ञात पत्त्याने गाठा, क्रमांकही मागणाऱ्या संदेशातील दुव्याने नाही।

पुनर्प्राप्ती सामग्री गुप्ताचा भाग माना। जर ऑपरेटरने पुनर्प्राप्ती कोड, PIN किंवा खाते रीसेट करू शकणारा ईमेल पत्ताही दिला असेल, तर ती वेगळी ओळखपत्रे आहेत आणि त्यांनाही तीच संरक्षण अट लागू आहे। एक असुरक्षित रीसेट चॅनेल इतर सर्व नियंत्रणे सजावट करते।

अंदाज प्रतिकार आणि दर मर्यादा एकत्र तपासा

लांबी केवळ निर्मिती पद्धतीच्या शेजारी अर्थपूर्ण असते। पूर्वानुमानित क्रमातून तयार झालेला लांब क्रमांक क्रिप्टोग्राफिक जनरेटरमधून आलेल्या लहान मूल्यापेक्षा कमकुवत आहे, आणि अंकांची प्रभावी संख्या अप्रत्याशितता सिद्ध करत नाही। मूल्य कसे तयार होते विचारा, त्याचा अंदाज लावणे किती कठीण आहे याचा विचार करण्यापूर्वी।

केवळ अंदाज प्रतिकारही अमर्यादित प्रयत्न दरासमोर टिकत नाही। महत्त्वाची नियंत्रणे ती आहेत जी ऑपरेटर लागू करतो: अयशस्वी प्रयत्नांचे गणक, लॉकआउट, प्रति-स्रोत थ्रॉटलिंग, आणि चुकीचा क्रमांक अनुपस्थितापासून वेगळा ओळखला जातो का। जर सेवा हे पुरते तर एक अयशस्वी प्रयत्न दाखवतो की त्रुटी कशी दिसते आणि पुन्हा प्रयत्न गणक दिसतो का:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

प्रतिसाद काय उघड करतो ते नोंदवा। अज्ञात खात्यासाठी वेगळी त्रुटी गणना ऑरेकल आहे, क्रमांकाचा अंदाज लावणे अशक्य असला तरीही, आणि हा निष्कर्ष नोंदीचा भाग आहे, तुम्ही क्लायंटकडून ती दुरुस्त करू शकता किंवा नाही याची पर्वा न करता।

फिराव आणि रद्दीकरणाची योजना गरजेपूर्वी करा

हरवलेल्या किंवा उघड झालेल्या क्रमांकासाठी समर्थित प्रक्रिया शोधा आणि सर्व काही चालू असताना ती लिहा। खात्याचे ओळखपत्र बदलता येते का? बदलामुळे आधीच नोंदणीकृत उपकरणे, सक्रिय सत्रे किंवा डाउनलोड केलेले कॉन्फिगरेशन अवैध होते का? प्रक्रियेला कोणती पुनर्प्राप्ती सामग्री लागते? ईमेलवर अवलंबून नसलेली सेवा वापरकर्त्यावर अधिक पुनर्प्राप्ती जबाबदारी सोपवू शकते, ज्यामुळे प्रक्रिया अधिक महत्त्वाची होते, कमी नाही।

खाते बदलणे आणि ओळखपत्र रद्द करणे वेगळे ठेवा। जर क्रमांक किल्ली, प्रमाणपत्र किंवा प्रोफाइल डाउनलोड करण्यास अधिकृत करतो, तर क्रमांक बदलल्याने ती डाउनलोड सामग्री वैध राहू शकते, आणि डाउनलोड सामग्री रद्द करणे हे वेगळ्या मालकाचे वेगळे ऑपरेशन असू शकते। एक बदललेले क्षेत्र प्रत्येक कनेक्शन संपवते असे गृहीत धरू नका; ऑपरेटरचे वास्तविक प्रतिमान तपासा आणि कुठे पडताळले ते लिहा।

निर्णयाचे दस्तऐवजीकरण करा आणि नंतर पुन्हा तपासा

प्रत्येक सेवेसाठी एक पानाची नोंद ठेवा: क्रमांक कोणते अधिकार देतो, कुठे साठवला जातो, कोण तो रीसेट करू शकतो, वापराचे काय पुरावे आहेत आणि उघड झाल्यानंतर पहिल्या तासात तुम्ही काय कराल. हीच नोंद शब्दावलीच्या वादाला कोणी ऑडिट करू शकेल्या निर्णयात बदलते।

गोपनीयतेच्या दाव्यांना स्वतःचा व्याप्ती असावा। अनियमितपणे तयार केलेला क्रमांक तरीही स्थिर ओळखकर्ता असू शकतो जो खाते घटनांना काळात जोडतो; अप्रत्याशितता अ-जोडणी नाही, आणि कोणताही गुण ठेवलेल्या नेटवर्क मेटाडेटाबद्दल काहीही सांगत नाही। साइन इन स्क्रीनवरील क्षेत्रे मोजण्याऐवजी संपूर्ण रचनांची तुलना करा।

ते नोंदवण्यापूर्वी:

• क्रमांक देत असलेले सर्व अधिकार सूचीबद्ध आहेत, डाउनलोड आणि उपकरण अधिकृतता सह.
• साठवण आणि पुनर्प्राप्ती चॅनेल त्याच मानकावर संरक्षित आहेत ज्यावर स्वतः क्रमांक.
• निर्मिती पद्धत आणि दर मर्यादा ज्ञात आहेत, लांबीवरून गृहीत नाहीत.
• बदलण्याची प्रक्रिया आणि रद्दीकरणाची प्रक्रिया अस्तित्वात आहेत, आणि कोण कुणाला रद्द करते ते तुम्हाला माहीत आहे।
• नोंद सांगते कोण मूल्य रीसेट करू शकतो आणि वापरानंतर कोणते पुरावे राहतात.