Email tal-password jipprova r-reversibbiltà, mhux skema

Servizz li jibgħat il-password attwali ta’ utent bl-email wera ħaġa waħda: jista’ jikseb dan is-sigriet f’forma li jista’ jibgħat. Ma wera x’kolonna, algoritmu jew librerija ġeneratu. Id-differenza hija importanti għax is-sejba hija reali u l-konklużjoni li n-nies jieħdu minnha normalment tkun speċifika wisq. Ir-reversibbiltà f’xi mkien fil-mogħdija hija l-mekkaniżmu; format ta’ ħażna maħsub mhuwiex.

Żomm il-provi f’dak il-livell, u l-bqija tar-reviżjoni tibqa’ preċiża.

X’jipprova r-ritorn tas-sigriet antik

Verifikatur b’direzzjoni waħda ma jistax jipproduċi l-password oriġinali, għax ġie ddisinjat biex ma jkunx invertibbli. Jekk is-servizz jista’ jibgħat il-password bl-email, allura f’dak il-mument qed iżomm materjal li minnu l-password tista’ tiġi rkuprata, jew qed jinterċetta u jaħżen it-test ċar qabel il-hashing. B’xi mod, il-mogħdija tal-irkupru hija riversibbli, u din hija sejba tas-sigurtà ġenwina. Ma tgħid xejn dwar jekk l-istess database tużax hash għali għal kolonni oħra.

Innota wkoll il-każ intermedju: blob encrypted maħżun b’ċavetta miżmuma mill-applikazzjoni huwa riversibbli fil-prattika, għalkemm il-kelma encrypted tħossok tikkalma f’rapport.

Għaliex din hija sejba tad-disinn, mhux mappa tal-ħażna

L-email tipprova l-irkuprabbiltà u ma tidentifikax l-iskema eżatta. Tista’ tkun test ċar, encryption deterministiku, rutina ta’ offuskazzjoni ta’ fornitur, jew maħżen ta’ kredenzjali separat użat biss għall-irkupru. Partijiet differenti ta’ prodott spiss jużaw ħażna differenti. Li tassenja algoritmu abbażi ta’ email waħda huwa t-tip ta’ pretensjoni li tisfa f’laqgħa ta’ segwitu.

Dak li tista’ tgħid huwa eqreb u aktar utli: din il-mogħdija tista’ tirkupra s-sigriet, għalhekk il-prodott ma jistax jgħid li ma hemm l-ebda kredenzjali li tista’ tiġi rkuprata. Kull ħaġa oħra teħtieġ il-provi tal-operatur.

Ibni l-imġedda madwar l-awtorizzazzjoni

Imġedda ssolvi problema differenti: tipprova li min jitlob jista’ jagħżel password ġdida. Il-gwida tal-OWASP dwar dan tiddeskrivi tokens jew kodiċi ta’ użu wieħed iġġenerati b’mod sigur bi skadenza xierqa, u tittratta l-istadju tat-talba bħala xi ħaġa li trid tiġi protetta mill-enumerazzjoni u mill-għargħar. Talba mhux awtentikata m’għandhiex tibdel il-kont waħedha. Ivvalida l-awtorizzazzjoni qabel taċċetta s-sostituzzjoni, u agħmel it-token mhux użabbli wara użu wieħed b’suċċess.

Il-kanal tal-email huwa parti mill-mudell tas-sigurtà. Li jkollok isem ta’ kont ma jipprova xejn, u fluss ta’ mġedda li jiżvela jekk kont jeżistix jagħti lill-attakkant direttorju biex jaħdem bih.

Invvalida dak li kienet tipproteġi l-password

Il-bidla ta’ password ma ttemmx awtomatikament l-aċċess li tat. Is-sessjonijiet VPN attivi, l-apparati mfakkra u t-tokens maħruġa mis-server jistgħu kull wieħed ikollhom imġieba ta’ invalidazzjoni tiegħu. Iddeċiedi b’mod deliberat liema minnhom irid jintemm, u vverifika li l-implimentazzjoni tagħmel dan, għax utent li jassumi li mġedda neħħietu mill-postijiet kollha spiss ikun żbaljat. Irreġistra dik id-deċiżjoni mal-fluss.

Għall-operaturi: iddokumenta liema komponent jivverifika t-talba, liema jbiddel il-kredenzjali u kif jiġu ttrattati s-sessjonijiet relatati. Għall-utenti: ipproteġi l-kanal tal-irkupru leġittimu u ttratta kull messaġġ li jirritorna password bħala suspettuż.

Il-valutazzjoni preċiża hija qasira: x’jipprova l-messaġġ, x’jibqa’ mhux magħruf, u jekk l-irkupru jissostitwixxix l-aċċess permezz ta’ proċess ikkontrollat.