E-mel kata laluan membuktikan keterbalikan, bukan skema

Perkhidmatan yang menghantar kata laluan semasa pengguna melalui e-mel telah membuktikan satu perkara: ia boleh memperoleh rahsia itu dalam bentuk yang boleh dihantar. Ia tidak membuktikan lajur, algoritma atau pustaka mana yang menghasilkannya. Perbezaan ini penting kerana penemuan itu nyata dan kesimpulan yang orang ambil daripadanya biasanya terlalu khusus. Keterbalikan di suatu tempat dalam laluan ialah mekanismenya; format storan yang diteka bukan.

Kekalkan bukti pada tahap itu, dan baki semakan kekal tepat.

Apa yang dibuktikan oleh penghantaran balik rahsia lama

Pengesah sehala tidak boleh menghasilkan kata laluan asal, kerana ia direka supaya tidak boleh diterbalikkan. Jika perkhidmatan boleh menghantar kata laluan melalui e-mel, maka pada saat itu ia menyimpan bahan yang daripadanya kata laluan boleh dipulihkan, atau ia memintas dan menyimpan teks biasa sebelum pencincangan. Sama ada cara, laluan pemulihan boleh diterbalikkan, dan itu penemuan keselamatan yang benar. Ia tidak mengatakan apa-apa tentang sama ada pangkalan data yang sama menggunakan cincang yang mahal untuk lajur lain.

Perhatikan juga kes pertengahan: blob tersulit yang disimpan dengan kunci yang dipegang aplikasi boleh diterbalikkan dalam amalan, walaupun perkataan tersulit kedengaran menenangkan dalam laporan.

Mengapa ini penemuan reka bentuk, bukan peta storan

E-mel membuktikan kebolehpulihan dan tidak mengenal pasti skema yang tepat. Ia mungkin teks biasa, penyulitan deterministik, rutin pengaburan vendor, atau stor kelayakan berasingan yang hanya digunakan untuk pemulihan. Bahagian berbeza sesuatu produk sering menggunakan storan berbeza. Menetapkan algoritma berdasarkan satu e-mel ialah jenis dakwaan yang runtuh dalam mesyuarat susulan.

Apa yang boleh anda katakan lebih sempit dan lebih berguna: laluan ini boleh memulihkan rahsia itu, jadi produk tidak boleh mendakwa tiada kelayakan yang boleh dipulihkan. Segala-galanya di luar itu memerlukan bukti pengendali.

Bina set semula di sekeliling kebenaran

Set semula menyelesaikan masalah lain: membuktikan pemohon boleh memilih kata laluan baharu. Panduan OWASP tentang ini menerangkan token atau kod sekali guna yang dijana dengan selamat dengan tempoh luput yang sesuai, dan menganggap peringkat permintaan sebagai sesuatu yang perlu dilindungi daripada penghitungan dan limpahan. Permintaan yang tidak disahkan tidak boleh mengubah akaun dengan sendirinya. Sahkan kebenaran sebelum menerima pengganti, dan jadikan token tidak boleh digunakan selepas satu penggunaan berjaya.

Saluran e-mel ialah sebahagian daripada model keselamatan. Memiliki nama akaun tidak membuktikan apa-apa, dan aliran set semula yang mendedahkan sama ada akaun wujud memberi penyerang direktori untuk dijadikan asas kerja.

Batalkan apa yang dilindungi oleh kata laluan

Menukar kata laluan tidak menamatkan akses yang diberikannya secara automatik. Sesi VPN aktif, peranti yang diingati dan token yang dikeluarkan pelayan mungkin mempunyai tingkah laku pembatalan masing-masing. Tentukan dengan sengaja yang mana perlu berakhir, dan sahkan pelaksanaannya berbuat demikian, kerana pengguna yang menganggap set semula telah melog keluar mereka di merata tempat sering tersilap. Rekodkan keputusan itu bersama aliran.

Untuk pengendali: dokumentasikan komponen mana yang mengesahkan permintaan, yang mana mengubah kelayakan dan bagaimana sesi berkaitan dikendalikan. Untuk pengguna: lindungi saluran pemulihan yang sah dan anggap setiap mesej yang memulangkan kata laluan sebagai mencurigakan.

Penilaian tepat itu ringkas: apa yang dibuktikan mesej, apa yang kekal tidak diketahui, dan sama ada pemulihan menggantikan akses melalui proses terkawal.