د پاسورډ برېښنالیک د بدلېدو وړتیا ثابتوي، نه سکیمه

هغه خدمت چې د کاروونکي اوسنی پاسورډ برېښنالیک کوي یو شی ثابت کړ: دا کولای شي هغه راز په داسې بڼه ترلاسه کړي چې لیږلی یې شي۔ خو دا یې ثابته نه کړه چې کومه کالمه، الګوریتم یا کتابخانه یې جوړه کړې۔ دا توپیر مهم دی، ځکه چې موندنه ریښتینې ده او هغه پایله چې خلک ترې اخلي معمولاً له اړتیا زیاته مشخصه وي۔ په لاره کې چېرې هم وي بدلېدو وړتیا میکانېزم دی؛ اټکل شوې زېرمه بڼه نه۔

شواهد په همدې کچه وساتئ، د بیاکتنې پاتې برخه به سمه پاتې شي۔

د زوړ راز بیرته لیږل څه ثابتوي

یوې لوري تصدیقکوونکی نشي کولای اصلي پاسورډ تولید کړي، ځکه چې دا د بدلېدو وړ نه اوسېدو لپاره جوړ شوی۔ که خدمت پاسورډ برېښنالیک کولای شي، نو په هغه شیبه کې داسې مواد لري چې پاسورډ ترې بیرته ترلاسه کېدای شي، یا د هش کولو دمخه ساده متن نیسي او زېرمه کوي۔ په هر حال د بیرته ترلاسه کولو لاره بدلېدو وړ ده، او دا ریښتینې امنیتي موندنه ده۔ دا د دې په اړه څه نه وایي چې ایا هغه ډیټابیس د نورو کالمونو لپاره ګران هش کاروي۔

منځنۍ پېښې ته هم پام وکړئ: د اپلیکیشن په لاس کې د کیلي سره زېرمه شوی کوډ شوی بلاک په عمل کې بدلېدو وړ دی، که څه هم په راپور کې د کوډ شوی کلمه ډاډه کوونکې ښکاري۔

ولې دا د ډیزاین موندنه ده، نه د زېرمې نقشه

برېښنالیک د بیرته ترلاسه کولو وړتیا ثابتوي او دقیقه سکیمه نه ښیي۔ دا کېدای شي ساده متن، ټاکونکی کوډ کول، د پلورونکي د تیاره کولو روډین، یا د تصدیق وړتیاوو جلا زېرمه وي چې یوازې د بیرته ترلاسه کولو لپاره کارول کیږي۔ د محصول بېلابېلې برخې ډېری وخت بېلابېلې زېرمې کاروي۔ یوازې په یوه برېښنالیک ولاړ د الګوریتم ټاکل هغه ډول ادعا ده چې په راتلونکې غونډه کې نسکوره شي۔

هغه څه چې ویلای شئ تنګتر او ګټورتر دي: دا لاره کولای شي راز بیرته ترلاسه کړي، نو محصول نشي کولای ادعا وکړي چې د بیرته ترلاسه کولو وړ تصدیق وړتیا نشته۔ له دې ورهاخوا هر څه د چلونکي شواهد غواړي۔

ریسیټ د اجازې شاوخوا جوړ کړئ

ریسیټ بله ستونزه حل کوي: ثابتول چې غوښتونکی کولای شي نوی پاسورډ وټاکي۔ د دې په اړه د OWASP لارښود په خوندي ډول تولید شوي، یو ځل کارېدونکي ټوکنونه یا کوډونه د مناسبې پای ونې سره تشریح کوي، او د غوښتنې پړاو د شمارش او سیلاب پر وړاندې د ساتلو وړ شی ګڼي۔ ناتصدیق شوې غوښتنه باید په خپله حساب ونه بدلوي۔ د بدیل منلو دمخه اجازه تایید کړئ، او له یوې بریالۍ کارونې وروسته ټوکن بېګټه کړئ۔

د برېښنالیک چینل د امنیت ماډل برخه ده۔ د حساب نوم لرل څه نه ثابتوي، او هغه ریسیټ بهیر چې ښیي حساب شته که نه، بریدګر ته د کار لپاره لارښود ورکوي۔

هغه څه بې اعتباره کړئ چې پاسورډ یې ساتنه کوله

د پاسورډ بدلول په خپله هغه لاسرسی نه پای ته رسوي چې ورکړی یې و۔ فعالې VPN ناستې، یادې شوې وسیلې او د سرور خپاره شوي ټوکنونه ممکن هر یو خپل بې اعتباره کولو رفتار ولري۔ په شعوري ډول پرېکړه وکړئ چې کوم یې باید پای ته ورسېږي، او تایید کړئ چې پلي کول یې کوي، ځکه هغه کاروونکی چې فکر کوي ریسیټ هر چېرې وتلی دی، ډېری وخت غلط وي۔ هغه پرېکړه د بهیر سره یوځای ثبت کړئ۔

د چلونکو لپاره: ثبت کړئ کوم برخه غوښتنه تاییدوي، کومه تصدیق وړتیا بدلوي او اړوندې ناستې څنګه اداره کیږي۔ د کاروونکو لپاره: قانوني بیرته ترلاسه کولو چینل وساتئ او هر هغه پیغام چې پاسورډ بیرته راولي شکمن وګڼئ۔

دقیق ارزونه لنډه ده: پیغام څه ثابتوي، څه ناڅرګند پاتې کیږي، او ایا بیرته ترلاسه کول د کنټرول شوې پروسې له لارې لاسرسی بدلوي۔