د تایید کوونکي نښه غلطه ده؟ ولې لوګو هیڅ هم نه ثابتوي
نه لیدل شوی لوګو د دې په اړه هیڅ نه وایي چې ستاسو دوهم فکتور چا ساتلی دی. د حساب له لارې نوم لیکنه تایید کړئ، او د انځور د سمولو لپاره هیڅکله QR کوډ پورته نه کړئ.
چیرې چې د برانډ لوګو باید وي، خړ مربعې ښکارېدل اندیښمنونکي دي، خو بیا هم همغه غلطه شی دی چې پرې عمل نه باید وشي. هغه انځور چې تایید کوونکی یې رسموي د داخلې په لیبلونو کې یو ښودنې تفصیل دی، خو امنیتي پوښتنه دا ده چې د هغې داخلې دننه راز ستاسو حساب ته اړه لري که نه. د دې دواړو جلا ساتل هغه څه دي چې ښکلاویزه ترمیم د اعتبارنامې له پیښې څخه جلا کوي. دا هغه ترمیم هم بندوي چې وضعیت نور خرابوي.
نښه او راز مختلفو پوښتنو ته ځواب وایي
د تایید کوونکي داخله د کیلي URI څخه جوړیږي چې د حساب لیبل او د صادرونکي نوم سره یوځای شریک راز لري. اپلیکیشن د هغه صادرونکي څخه لوګو رسموي چې پېژني، او ناپېژندل شوی یا بدل شوی صادرونکی یوازې یو عمومي انځور جوړوي. په دې ښودنه کې هیڅ شی تاسو ته نه وایي چې د راز بله کاپي چا لري، او په سم لوګو کې هیڅ شی نه وایي چې داخله یوازې ستاسو ده. ښودنه د لیبل په اړه نښه وګڼئ، نه د ساتنې په اړه بیان.
مخالف یې هم سم دی، او همغه ډېره خطرناکه لار ده. باوري لوګو له نه لیدل شوي لوګو څخه هم لږ څه ثابتوي.
| Observation | What it supports | What it cannot support |
|---|---|---|
| Logo missing or wrong | The issuer string was not recognised | Any conclusion about secret disclosure |
| Logo correct | The issuer string matched a known name | Any conclusion about who else enrolled |
| Codes rejected by the service | A real mismatch between entry and account | Which of the two changed |
د انځور د سمولو لپاره هیڅکله بیا نوم لیکنه مه کوئ
هغه ترمیم چې آنلاین ګرځي دا دی چې QR کوډ بیا تولید کړو، چې مانا یې راز صادرول او د بل وسیلې له لارې تېرول دي. دا د ښودنې ستونزه په افشا بدلوي، ځکه صادر شوي فایل کې هغه مواد دي چې بریدګر ته د معتبر کوډونو جوړولو لپاره ورته اړتیا ده. په ویب جنراتور کې یې پورته کول د ښکلي نښې په بدل کې دوهم فکتور دریم لوري ته سپارل دي.
که حساب لا هم کوډونه تاییدوي، نوم لیکنه سمه ده او ښودنه ښکلاویزه ده. د صادرونکي لیبلونو او نښې لټون په اړه د تایید کوونکي خپل اسناد وګورئ، او داخله هماغسې پرېږدئ. د لوګو د تحمیل لپاره د لیبل سمون د داسې دلیل له مخې داخلې ته بدلون دی چې له تایید سره هیڅ تړاو نه لري.
اصلي QR انځور، خام کیلي URI او هر لاسي راز له ټیکټونو، د خبرو تارونو، سکرین شاټونو او عامه ستونزو تعقیبوونکو څخه لرې وساتئ. د تنظیم پاڼې سکرین شاټ اکثراً له هغه څخه ډېر څه لري چې اخیستونکي یې اراده کړې وه.
کله چې راز واقعاً افشا شو
افشا د خپل ځواب سره جلا پیښه وګڼئ. د خدمت ملاتړ شوې بدلون پروسه وکاروئ ترڅو نوی تایید کوونکی نوم لیک کړئ، تایید یې کړئ چې نوې داخله منل شوي کوډونه تولیدوي، او په سرور کې پخوانۍ نوم لیکنه لغوه کړئ. داخله په محلي ډول پاکول د سرور اړخ نوم لیکنه نه لره کوي، نو افشا شوی راز کولای شي تر هغه وخته کار وکړي چې خدمت ته بل ډول ونه ویل شي. د خطر ډېره برخه د محلي پاکولو او د سرور د حالت ترمنځ په همدې تشه کې ده.
دلته ترتیب مهم دی. لومړی بدلون نوم لیک کړئ، تایید یې کړئ، او بیا یې یوازې پخوانی لرې کړئ، ځکه ډېری خدمتونه به تاسو بند کړي که وروستی فکتور ورک شي. د بیا رغونې کوډونه هم همدې ترتیب کې دي، ځکه چې دوی هغه مهال بدیله لار ده چې ټیلیفون نه وي.
وګورئ چې ایا همغه راز بل چېرې کارول شوی دی. په جنراتور کې نښلول شوی کیلي URI ستاسو له کنټرول څخه وتلی دی، او تر شا حساب باید تر هغه وخته شریک وګڼل شي چې نوم لیکنه بدله شي.
د ملاتړ غوښتنې باید لیدیزه ستونزه پرته له کوډونو یا د تنظیم موادو بیان کړي. هر هغه څه چې حساب ته ځانګړي دي د چمتو کوونکي تایید شوې کانال ته اړه لري، نه عامه تار ته.
د پاکولو دمخه د بیا رغونې لار وساتئ
د هرې کار کوونکې داخلې له لرې کولو دمخه تایید کړئ چې منل شوې بیا رغونې لار شته او تاسو یې کارولی شئ. هغه ښکلاویزه ترمیم چې په بندیدو پای ته رسي له غلط لوګو څخه بد نتیجه ده، او بندیدل هغه مهال عام دي چې یوازینی نوم لیکل شوی وسیله هغه وي چې سمون کیږي.
د منلو شرط تنګ دی: د حساب او تایید کوونکي ترمنځ تایید شوې اړیکه، او د نوم لیکنې مواد په خصوصي توګه ساتل. پیژندل شوی نښان د دې شرط برخه نه ده، او نه شتون یې د ماتې ثبوت نه دی.
د کیلي URI بڼه پخپله په د Google Authenticator د کیلي URI مشخصات کې مستند شوې ده، چې دا هم یادوي چې پیلوډ کې راز دی نه لوګو. د هغې داخلې څخه چې د له لاسه ورکولو توان یې نه لرئ، د هر څه صادرولو دمخه یې ولولئ.