රහස්‍ය ගිණුම් අංකයක් අක්තපත්‍රයක් ලෙස සලකන්න: එය විගණනය කරන්න
අංකය දැනීමෙන් යමෙකු පුරනය වන්නේ නම් හෝ වින්‍යාසයක් ගෙන එන්නේ නම්, එය අක්තපත්‍රයකි. අධිකාරිය, ගබඩාව, අනුමාන අනුපාතය සහ භ්‍රමණය පරීක්ෂා කරන්න.
ගිණුම් අංකය ලෙස ලේබල් කරන ලද ක්ෂේත්‍රයක් ස්වයංක්‍රීයව පොදු යොමුවක් නොවේ, ලේබලය පරීක්ෂණය නොවේ. පරීක්ෂණය යනු අයිතිය අවසර දෙන දෙයයි: අංකය දැනීමෙන් යමෙකු පුරනය වන්නේ නම්, සම්බන්ධතා පැතිකඩක් බාගත වන්නේ නම් හෝ උපාංගයක් බලය ලබන්නේ නම්, එම අංකය ජීවන චක්‍රයක් සහිත අක්තපත්‍රයකි. සේවාවක් සංඛ්‍යාත්මක අනන්‍යතාවක් නිකුත් කර එය හානිකර නොවන බව කියන සෑම විටම මම පහත පරීක්ෂණ පහ සිදු කරමි. එක් එක් පරීක්ෂණය කෙටි වාර්තාවක පේළියක් සාදයි, වාර්තාවම ප්‍රතිඵලයයි, නිෂ්පාදනය ගැන තීන්දුවක් නොවේ.
අයිතිය ඇත්ත වශයෙන්ම ලබා දෙන දේ ලැයිස්තුගත කරන්න
අංකය විවෘත කරන සෑම ක්‍රියාවක්ම වෙන වෙනම ලියන්න. ද්වාරයට පුරනය වීම, වින්‍යාස ගොනුවක් ලබා ගැනීම, නව උපාංගයක් බලය ලබා දීම සහ පිළිගත් උමං පුරනයක් සැපයීම වෙනස් අධිකාරීන් වන අතර සේවාවකට එකක් අනෙක්වා නොමැතිව ක්‍රියාත්මක කළ හැක. අංකය එකම ක්ෂේත්‍රය ලෙස පිළිගන්නා ද්වාරය මේ ගැන කිසිවක් නොකියයි: උමං එහි සහකරු අත්තනෝමතික ලෙස තහවුරු කරන්නේ කෙසේද පසුව, හෝ රථවාහන යතුරු ලබා ගන්නේ කෙසේද.
සාමාන්‍ය ආකෘතිය කීම පහසුය: bearer අක්තපත්‍රය යනු හිමිකරුට වෙනම ගුප්තකේතන යතුරක අයිතිය ඔප්පු නොකර භාවිත කළ හැකි එකකි, එය RFC 6750 ටෝකන සඳහා අඳින වෙනසයි. මෙය සංසන්දනයකි, සේවාව OAuth ක්‍රියාත්මක කරන බවට ප්‍රකාශයක් නොවේ. හිමිකරුට වෙන කිසිවක් අවශ්‍ය නොවේ නම්, අංකය bearer රහසක් ලෙස සලකා ඉතිරි නිර්මාණය ඒ අනුව වර්ගීකරණය කරන්න.
එය යොමුවක් ලෙස නොව රහසක් ලෙස ආරක්ෂා කරන්න
ගබඩාව වර්ගීකරණයෙන් පැමිණේ. පුරනය කරවන අගය මුරපද කළමනාකරුවක තිබිය යුතුය, තිර රුවක, පසුරු පුවරු ඉතිහාසයක, කතාබස් පණිවිඩයක හෝ බ්‍රව්සර් සටහනක නොවේ. තිර රූ සාමාන්‍ය පිටවීමකි: අංකය කෙටිය, හානිකර නොවන ලෙස පෙනේ, එබැවින් එය පැමිණි උපාංගයට වඩා දිගු කල් ජීවත් වන ආධාරක නූලකට වැටේ.
ෆිෂිං දෙවන අසාර්ථක ආකාරයයි, අංකය කොපමණ අහඹු ද යන්න ගැන එයට තැකීමක් නැත. අගය අවශ්‍ය වංචාකාරයා එය පෝරමයක අලවන්න ඔබට කියනු ඇත, කිසිදා කල් ඉකුත් නොවන, දෙවන සාධකයක් නොමැති අක්තපත්‍රයක් උත්සාහයට වටිනවා. පුරනය මාර්ගයට පිටුසලකුණකින් හෝ දන්නා ලිපිනයකින් ළඟා වන්න, අංකය ද ඉල්ලන පණිවිඩයක සබැඳියෙන් නොවේ.
ප්‍රතිසාධන ද්‍රව්‍ය රහසේ කොටසක් ලෙස සලකන්න. ක්‍රියාකරු ප්‍රතිසාධන කේතයක්, PIN එකක් හෝ ගිණුම නැවත සැකසිය හැකි විද්‍යුත් තැපැල් ලිපිනයක් ද නිකුත් කළේ නම්, ඒවා එකම ආරක්ෂණ අවශ්‍යතාව සහිත වෙනස් අක්තපත්‍ර වේ. ආරක්ෂා නොකළ එක් නැවත සැකසුම් නාලිකාවක් අනෙක් සියලු පාලන ක්ෂේත්‍ර අලංකාරයක් බවට පත් කරයි.
අනුමාන ප්‍රතිරෝධය සහ අනුපාත සීමාව එකට පරීක්ෂා කරන්න
දිග අර්ථවත් වන්නේ උත්පාදන ක්‍රමය සමඟ පමණි. පුරෝකථනය කළ හැකි අනුපිළිවෙලකින් නිපදවන දිගු අංකයක් ගුප්තකේතන උත්පාදකයකින් ලැබෙන කෙටි අගයකට වඩා දුර්වල ය, සහ ආකර්ෂණීය ඉලක්කම් ගණනක් අනපේක්ෂිත බව සනාථ නොකරයි. අගය උත්පාදනය කරන්නේ කෙසේද යන්න අසන්න, එය අනුමාන කිරීම කොතරම් අපහසු ද යන්න සිතීමට පෙර.
අනුමාන ප්‍රතිරෝධය පමණක් ද අසීමිත උත්සාහ අනුපාතයකට ඔරොත්තු දෙන්නේ නැත. වැදගත් වන්නේ ක්‍රියාකරු ක්‍රියාත්මක කරන පාලනයන් ය: අසාර්ථක උත්සාහ ගණක, අගුලු දැමීම්, මූලාශ්‍රය අනුව සීමා කිරීම, සහ වැරදි අංකයක් නොපවතින එකකින් වෙන් කළ හැකි ද යන්න. සේවාව මෙය අනුග්‍රහය දක්වන්නේ නම්, එක් අසාර්ථක උත්සාහයක් දෝෂය කෙසේ දැයි සහ නැවත උත්සාහ ගණකයක් දිස්වේ ද යන්න පෙන්වයි:
# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"ප්‍රතිචාරය හෙළිදරව් කරන දේ වාර්තා කරන්න. නොදන්නා ගිණුමක් සඳහා වෙනස් දෝෂයක් ගණන් කිරීමේ ඔරකල් එකකි, අංකය අනුමාන කළ නොහැකි වුවද, සහ මෙම සොයාගැනීම වාර්තාවට අයත් වේ, ඔබට සේවාලාභී පැත්තෙන් එය නිවැරදි කළ හැකි වුවද.
භ්‍රමණය සහ අවලංගු කිරීම අවශ්‍ය වීමට පෙර සැලසුම් කරන්න
නැති වූ හෝ හෙළිදරව් වූ අංකයක් සඳහා අනුග්‍රහය ලබන ක්‍රියාවලිය සොයාගෙන සියල්ල ක්‍රියා කරන විට ලියන්න. ගිණුමේ අක්තපත්‍රය කිසිසේත් ප්‍රතිස්ථාපනය කළ හැකි ද? ප්‍රතිස්ථාපනය දැනටමත් ලියාපදිංචි උපාංග, ක්‍රියාකාරී සැසි හෝ බාගත කළ වින්‍යාසය අවලංගු කරයි ද? ක්‍රියාවලිය ඉල්ලා සිටින ප්‍රතිසාධන ද්‍රව්‍ය මොනවා ද? විද්‍යුත් තැපෑල මත යැපීමක් නොමැති සේවාවකට පරිශීලකයාට වැඩි ප්‍රතිසාධන වගකීමක් පවරා දිය හැක, එය ක්‍රියාවලිය වඩාත් වැදගත් කරයි, අඩුවෙන් නොවේ.
ගිණුම් ප්‍රතිස්ථාපනය අක්තපත්‍ර අවලංගු කිරීමෙන් වෙන් කරන්න. අංකය යතුරක්, සහතිකයක් හෝ පැතිකඩක් බාගත කිරීමට බලය දෙන්නේ නම්, අංකය ප්‍රතිස්ථාපනය කිරීම එම බාගත කළ ද්‍රව්‍ය වලංගුව තබා ගත හැක, සහ බාගත කළ ද්‍රව්‍ය අවලංගු කිරීම වෙනත් හිමිකරුවෙකුගේ වෙනත් මෙහෙයුමක් විය හැක. වෙනස් වූ එක් ක්ෂේත්‍රයක් සෑම සම්බන්ධතාවක්ම අවසන් කරන බව නොසිතන්න; ක්‍රියාකරුගේ සැබෑ ආකෘතිය පරීක්ෂා කර කොහේද තහවුරු කළේ යැයි ලියන්න.
තීරණය ලේඛනගත කර පසුව නැවත පරීක්ෂා කරන්න
සෑම සේවාවකටම එක් පිටුවක වාර්තාවක් තබා ගන්න: අංකය කුමන අධිකාරීන් ලබා දෙයි ද, කොහේ ගබඩා වී ඇත ද, කවුරුන්ට එය නැවත සැකසිය හැකි ද, භාවිතයේ කුමන සාක්ෂි තිබේ ද, හෙළිදරව්වෙන් පසු පළමු පැයේදී ඔබ කුමක් කරන්නේ ද. එම වාර්තාවම පාරිභාෂික තර්කය කිසිවෙකුට විගණනය කළ හැකි තීරණයක් බවට පත් කරයි.
පෞද්ගලිකත්ව ප්‍රකාශ සඳහා ඔවුන්ගේම විෂය පථයක් අවශ්‍යයි. අහඹු ලෙස උත්පාදනය කළ අංකයක් තවමත් කාලය තුළ ගිණුම් සිදුවීම් සම්බන්ධ කරන ස්ථාවර හඳුනාගැනීමක් විය හැක; අනපේක්ෂිත බව අසම්බන්ධතාවය නොවේ, කිසිදු ගුණයක් රඳවා ගත් ජාල මෙටාදත්ත ගැන කිසිවක් නොකියයි. පුරනය තිරයේ ක්ෂේත්‍ර ගණන් කරනවාට වඩා සම්පූර්ණ නිර්මාණ සංසන්දනය කරන්න.
එය වාර්තා කිරීමට පෙර:
- අංකය ලබා දෙන සියලුම අධිකාරීන් ලැයිස්තුගත කර ඇත, බාගැනීම් සහ උපාංග බලය ඇතුළුව.
- ගබඩා සහ ප්‍රතිසාධන නාලිකා අංකයටම ඇති එම ප්‍රමිතියෙන් ආරක්ෂා කර ඇත.
- උත්පාදන ක්‍රමය සහ අනුපාත සීමා දන්නා අතර, දිගින් උපකල්පනය කර නොමැත.
- ප්‍රතිස්ථාපන ක්‍රියාවලියක් සහ අවලංගු කිරීමේ ක්‍රියාවලියක් ඇත, කුමක් කුමක් අවලංගු කරයි ද යන්න ඔබ දන්නවා.
- වාර්තාව කවුරුන්ට අගය නැවත සැකසිය හැකි ද සහ භාවිතයෙන් පසු කුමන සාක්ෂි ඉතිරි වේ ද යන්න නම් කරයි.