پټ حساب نمبر د اعتبار وړ معلوماتو په توګه وګڼئ: د هغه پلټنه وکړئ

د حساب نمبر په نوم ښودل شوی ساحه په خپل سري توګه عامه حواله نه ده، او نوم د ازموینې نه دی. ازموینه هغه څه دي چې ملکیت یې اجازه ورکوي: که چې شماره پېژندل یو څوک ننوځي، د نښلېدو پروفایل ډاونلوډ کړي یا یو وسیله اجازه ورکړي، نو دا شماره د ژوند دورې لرونکې د اعتبار وړ معلومات دي. هرکله چې یو خدمت عددي هویت صادر کړي او هغه بې ضرره وبولي، زه لاندې پنځه پلټنې ترسره کوم. هر یو په لنډ راپور کې یوه کرښه جوړوي، او راپور پایله ده، د محصول په اړه حکم نه دی.

د ملکیت څخه چې واقعاً څه ترلاسه کېږي هغه لېست کړئ

هر عمل چې شماره یې خلاصوي جلا ولیکئ. پورتال ته ننوتل، د کنفیګریشن فایل ترلاسه کول، نوي وسیلې ته اجازه ورکول او د منل شوي تونل ننوتل وړاندې کول بېلابېل واکونه دي، او خدمت کولای شي یو له بل پرته پلي کړي. هغه پورتال چې شماره یوازینی ساحه مني، د دې په اړه څه نه وایي چې تونل خپل سیال څنګه تصدیقوي وروسته یا د ترافیک کلیو څنګه اخیستل کېږي.

عمومي ماډل بیانول اسانه دي: bearer اعتبار د هغه څه دي چې لرونکی یې پرته له دې چې د جلا کریپټوګرافیک کلي ملکیت ثابت کړي کارولای شي، او دا هغه توپیر دی چې RFC 6750 د ټوکنونو لپاره ټاکي. دا پرتله ده، دا ادعا نه ده چې د شمارې پر بنسټ خدمت OAuth پلي کوي. که لرونکي بل څه نه غواړي، شماره د bearer راز وګڼئ او د ډیزاین پاتې برخه پر هماغه اساس درجه بندي کړئ.

هغه د راز په څېر وساتئ، د حوالې په څېر نه

ذخیره د درجه بندي څخه راځي. هغه ارزښت چې ننوتل کوي د پټنوم مدیر ځای دی، د سکرین انځور، د کلیپ بورډ تاریخ، د چیټ پیغام یا د براوزر یادښت نه. سکرین انځورونه عادي تېښته دي: شماره لنډه ده او بې ضرره ښکاري، نو په داسې ملاتړ تار کې ځای مومي چې له هغه وسیلې څخه چې راغلې اوږد ژوند کوي.

فشینګ د ناکامۍ بله بڼه ده او هغه ته اهمیت نه لري چې شماره څومره تصادفي ده. هغه دوکه کوونکی چې ارزښت غواړي تاسو ته وایي چې په فورم کې یې ولګوئ، او داسې اعتبار چې هیڅکله نه پای ته رسېږي او دویم عامل نه لري د هڅې وړ دي. د ننوتلو لارې ته د بوکمارک یا پېژندل شوي پتې له لارې ورسیږئ، د هغه پیغام د لینک له لارې نه چې شماره هم غواړي.

د بیا رغونې مواد د راز برخه وګڼئ. که چې آپریټر د بیا رغونې کوډ، PIN یا د برېښنالیک پته هم صادره کړې وي چې حساب بیا تنظیم کړي، دا جلا اعتبارونه دي چې ورته د ساتنې غوښتنه لري. یوه بې ساتنې بیا تنظیم چینل نور ټول کنټرولونه سینګار جوړوي.

د اټکل مقاومت او د کچې محدودیت یوځای وګورئ

اوږدوالی یوازې د جوړولو له طریقې سره معنا لري. د وړاندوینې وړ ترتیب څخه جوړ شوی اوږد شماره له کریپټوګرافیک جوړونکي څخه وتلې لنډ ارزښت څخه کمزورې ده، او د عددونو د پام وړ شمېر د وړاندوینې نه کېدو ثبوت نه دی. وپوښتئ چې ارزښت څنګه جوړېږي، له دې مخکې چې فکر وکړئ اټکل یې څومره سخت دی.

یوازې د اټکل مقاومت هم د نامحدودې هڅې کچې په وړاندې نه ټينګېږي. مهم کنټرولونه هغه دي چې آپریټر پلي کوي: د ناکامو هڅو شمارونکي، بندونه، د سرچینې له مخې محدودیت او دا چې غلط شماره له نه شتو څخه جلا کېدلای شي که نه. که خدمت یې ملاتړ وکړي، یوه ناکامه هڅه ښیي چې خطا څنګه ده او د بیا هڅې شمارونکی ښکاري که نه:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

ثبت کړئ چې ځواب څه ښکاره کوي. د ناپېژندل شوي حساب لپاره جلا خطا د شمېرنې اوراکل دی، حتی کله چې شماره اټکل نه شي کېدای، او دا موندنه راپور ته اړه لري، که تاسو یې د کلینټ له اړخه سمولای شئ یا نه.

ګردش او لغوه کول له اړتیا مخکې پلان کړئ

د ورکې یا افشا شوې شمارې لپاره ملاتړ شوی بهیر ومومئ او هغه ولیکئ کله چې هر څه کار کوي. آیا د حساب اعتبارونه اصلاً بدلېدلای شي؟ آیا بدلون پخوا ثبت شوې وسیلې، فعالې ناستې یا ډاونلوډ شوې کنفیګریشن باطلوي؟ بهیر کوم د بیا رغونې مواد غواړي؟ له برېښنالیک پرته خدمت کولای شي کاروونکي ته ډېره د بیا رغونې مسؤلیت انتقال کړي، چې بهیر یې مهمتر کوي، کم نه.

د حساب بدلون له اعتبار لغوه کولو جلا کړئ. که شماره د کلي، تصدیق پاڼې یا پروفایل ډاونلوډ کولو اجازه ورکوي، د شمارې بدلون هغه ډاونلوډ شوي مواد کېدای شي معتبر پرېږدي، او د ډاونلوډ شوي موادو لغوه کول کېدای شي بل مالک لرونکی بل عملیات وي. مه فکر کوئ چې یوه بدله شوې ساحه هر اړیکه پای ته رسوي؛ د آپریټر ریښتینی ماډل وګورئ او ولیکئ چې چېرې یې تصدیق کړ.

پرېکړه مستند کړئ او وروسته یې بیا وګورئ

د هر خدمت لپاره یو مخ راپور وساتئ: شماره کوم واکونه ورکوي، چېرې ذخیره ده، څوک یې بیا تنظیمولای شي، د کارولو کوم شواهد شته او له افشا وروسته په لومړۍ ساعت کې به څه وکړئ. همدا راپور د اصطلاحاتو بحث په داسې پرېکړه بدلوي چې څوک یې پلټنه کولای شي.

د محرمیت ادعاوې خپل چوپړ غواړي. تصادفي جوړه شوې شماره کېدای شي لا هم ثابته پېژندونکې وي چې د حساب پېښې په وخت کې نښلوي؛ د وړاندوینې نه کېدل د نه نښلېدو نه دی، او هیڅ یوه ځانګړتیا د ساتل شوي شبکې میټاډاټا په اړه څه نه وایي. بشپړ ډیزاینونه پرتله کړئ، د ننوتلو پردې ساحې مه شمېرئ.

له ثبتولو مخکې:

• د شمارې ټول ورکړل شوي واکونه لیست شوي، د ډاونلوډونو او د وسیلې اجازې په ګډون.
• د ذخیرې او بیا رغونې چینلونه د هغه معیار له مخې ساتل شوي چې خود شماره.
• د جوړولو طریقه او د کچې محدودیتونه پېژندل شوي، له اوږدوالي اټکل شوي نه دي.
• د بدلون بهیر او د لغوه کولو بهیر شته، او تاسو پوهېږئ کوم کوم لغوه کوي.
• راپور ښیي څوک ارزښت بیا تنظیمولای شي او له کارولو وروسته کوم شواهد پاتې کېږي.