गोप्य खाता नम्बरलाई प्रमाणको रूपमा लिनुहोस्: यसको अडिट गर्नुहोस्

खाता नम्बर भनी लेबल लागेको फाँट आफैँमा सार्वजनिक सन्दर्भ होइन, र लेबल परीक्षण होइन। परीक्षण यो हो कि कब्जाले के अनुमति दिन्छ: यदि नम्बर थाहा पाउँदा कसैलाई साइन इन गराउँछ, जडान प्रोफाइल डाउनलोड गर्छ वा यन्त्र अधिकृत गर्छ भने त्यो नम्बर जीवनचक्र भएको प्रमाण हो। कुनै सेवाले सङ्ख्यात्मक पहिचान दिएर यसलाई हानिरहित भन्यो भने म तलका पाँच जाँच गर्छु। प्रत्येकले छोटो अभिलेखमा एक लाइन बनाउँछ, र अभिलेख नै परिणाम हो, उत्पादनबारे फैसला होइन।

कब्जाले वास्तवमा के दिन्छ सूची बनाउनुहोस्

नम्बरले खोल्ने प्रत्येक कार्य अलग-अलग लेख्नुहोस्। पोर्टलमा साइन इन, कन्फिगरेसन फाइल लिनु, नयाँ यन्त्र अधिकृत गर्नु र स्वीकृत टनेल साइन इन दिनु फरक अधिकार हुन्, र सेवाले एउटा अरूबिना लागू गर्न सक्छ। नम्बरलाई एकमात्र फाँट मान्ने पोर्टलले यसबारे केही भन्दैन कि टनेलले आफ्नो साथीको प्रमाणीकरण कसरी गर्छ पछि, वा ट्राफिक कुञ्जीहरू कसरी निकालिन्छन्।

सामान्य मोडेल भन्न सजिलो छ: bearer प्रमाण त्यो हो जसलाई धारकले छुट्टै क्रिप्टोग्राफिक कुञ्जीको कब्जा प्रमाणित नगरी प्रयोग गर्न सक्छ, र यही त्यो भेद हो जो RFC 6750 टोकनका लागि तान्छ। यो तुलना हो, सेवाले OAuth लागू गर्छ भन्ने दाबी होइन। यदि धारकलाई अरू केही चाहिँदैन भने नम्बरलाई bearer रहस्य मान्नुहोस् र बाँकी डिजाइन त्यही अनुसार वर्गीकृत गर्नुहोस्।

यसलाई सन्दर्भजस्तो होइन, रहस्यजस्तो सुरक्षित राख्नुहोस्

भण्डारण वर्गीकरणबाट आउँछ। साइन इन गराउने मान पासवर्ड व्यवस्थापकमा रहन्छ, स्क्रिनसट, क्लिपबोर्ड इतिहास, च्याट सन्देश वा ब्राउजर टिप्पणीमा होइन। स्क्रिनसट सामान्य चुहावट हुन्: नम्बर छोटो हुन्छ र हानिरहित देखिन्छ, त्यसैले यो आएको यन्त्रभन्दा लामो बाँच्ने सहयोग थ्रेडमा पुग्छ।

फिसिङ दोस्रो असफलता हो, र नम्बर कति अनियमित छ भन्ने कुराले यसलाई फरक पार्दैन। मान चाहने ठगले तपाईंलाई यो फारममा टाँस्न भन्छ, र कहिल्यै नसकिने, दोस्रो कारक नभएको प्रमाण प्रयासको योग्य हुन्छ। साइन इनको बाटो बुकमार्क वा चिनिएको ठेगानाबाट पुग्नुहोस्, नम्बर पनि माग्ने सन्देशको लिंकबाट होइन।

पुनःप्राप्ति सामग्रीलाई रहस्यको भाग मान्नुहोस्। यदि अपरेटरले पुनःप्राप्ति कोड, PIN वा खाता रिसेट गर्न सक्ने इमेल ठेगाना पनि जारी गरेको छ भने ती छुट्टै प्रमाण हुन् जसमा उही सुरक्षा शर्त लागू हुन्छ। एउटा असुरक्षित रिसेट च्यानलले अरू सबै नियन्त्रणलाई सजावट बनाउँछ।

अनुमान प्रतिरोध र दर सीमा सँगै जाँच्नुहोस्

लम्बाइ उत्पादन विधिसँगै मात्र अर्थपूर्ण हुन्छ। पूर्वानुमानयोग्य क्रमबाट बनेको लामो नम्बर क्रिप्टोग्राफिक जेनेरेटरबाट आएको छोटो मानभन्दा कमजोर हुन्छ, र अंकको प्रभावशाली सङ्ख्याले अप्रत्याशितता प्रमाणित गर्दैन। मान कसरी बन्छ सोध्नुहोस्, यसको अनुमान लगाउन कति गाह्रो छ भनी सोच्नुअघि।

अनुमान प्रतिरोध मात्र पनि असीमित प्रयास दरसामु टिक्दैन। महत्त्वपूर्ण नियन्त्रण ती हुन् जो अपरेटरले लागू गर्छ: असफल प्रयास गणक, लकआउट, प्रति-स्रोत थ्रोटलिङ, र गलत नम्बर अनुपस्थितबाट छुट्टिन्छ कि छैन। यदि सेवाले यो समर्थन गर्छ भने एक असफल प्रयासले त्रुटि कस्तो देखिन्छ र पुनः प्रयास गणक देखिन्छ कि देखिँदैन देखाउँछ:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

प्रतिक्रियाले के खोल्छ अभिलेख गर्नुहोस्। अज्ञात खाताका लागि छुट्टै त्रुटि गणना ओराकल हो, नम्बरको अनुमान लगाउन असम्भव भए पनि, र यो निष्कर्ष अभिलेखको भाग हो, तपाईंले क्लाइन्टबाट सुधार्न सक्नुहुन्छ वा हुँदैन।

रोटेसन र रद्दीकरणको योजना आवश्यकताअघि बनाउनुहोस्

हराएको वा खुलेको नम्बरका लागि समर्थित प्रक्रिया खोज्नुहोस् र सबै चलिरहेको बेला लेख्नुहोस्। खाताको प्रमाण बदल्न सकिन्छ? परिवर्तनले पहिले नै दर्ता भएका यन्त्र, सक्रिय सत्र वा डाउनलोड गरिएको कन्फिगरेसन अमान्य गर्छ? प्रक्रियाले कुन पुनःप्राप्ति सामग्री माग्छ? इमेलमा निर्भरता नभएको सेवाले प्रयोगकर्तालाई बढी पुनःप्राप्ति जिम्मेवारी सार्न सक्छ, जसले प्रक्रियालाई अझ महत्त्वपूर्ण बनाउँछ, कम होइन।

खाता बदल्ने र प्रमाण रद्द गर्ने अलग राख्नुहोस्। यदि नम्बरले कुञ्जी, प्रमाणपत्र वा प्रोफाइल डाउनलोड गर्न अधिकृत गर्छ भने नम्बर बदल्दा त्यो डाउनलोड सामग्री वैध रहन सक्छ, र डाउनलोड सामग्री रद्द गर्नु फरक मालिकको फरक कार्य हुन सक्छ। एउटा बदलिएको फाँटले हरेक जडान अन्त्य गर्छ भनी नमान्नुहोस्; अपरेटरको वास्तविक मोडेल जाँच्नुहोस् र कहाँ प्रमाणित गर्नुभयो लेख्नुहोस्।

निर्णयको अभिलेख राख्नुहोस् र पछि पुनः जाँच्नुहोस्

हरेक सेवाका लागि एक पृष्ठको अभिलेख राख्नुहोस्: नम्बरले कुन अधिकार दिन्छ, कहाँ भण्डारण हुन्छ, कसले रिसेट गर्न सक्छ, प्रयोगका के प्रमाण छन् र खुलासापछि पहिलो घण्टामा तपाईं के गर्नुहुन्छ। यही अभिलेखले शब्दावलीको बहसलाई कसैले अडिट गर्न सक्ने निर्णयमा बदल्छ।

गोपनीयताका दाबीलाई आफ्नै दायरा चाहिन्छ। अनियमित रूपमा बनेको नम्बर अझै स्थिर पहिचानकर्ता हुन सक्छ जसले खाता घटनाहरूलाई समयमा जोड्छ; अप्रत्याशितता अ-जोडिने होइन, र कुनै पनि गुणले राखिएको नेटवर्क मेटाडाटाबारे केही भन्दैन। साइन इन स्क्रिनका फाँट गन्नुको सट्टा पूर्ण डिजाइन तुलना गर्नुहोस्।

यसलाई दर्ता गर्नुअघि:

• नम्बरले दिने सबै अधिकार सूचीबद्ध छन्, डाउनलोड र यन्त्र अधिकृतता सहित।
• भण्डारण र पुनःप्राप्ति च्यानल त्यही मानकमा सुरक्षित छन् जसमा नम्बर आफैँ।
• उत्पादन विधि र दर सीमा थाहा छ, लम्बाइबाट अनुमान गरिएको होइन।
• बदल्ने प्रक्रिया र रद्द गर्ने प्रक्रिया छन्, र कुनले कुनलाई रद्द गर्छ थाहा छ।
• अभिलेखले कसले मान रिसेट गर्न सक्छ र प्रयोगपछि के प्रमाण बाँकी रहन्छ भनी बताउँछ।