E-pošta z geslom dokazuje reverzibilnost, ne sheme

Storitev, ki po e-pošti pošlje trenutno geslo uporabnika, je dokazala eno: lahko pridobi to skrivnost v obliki, ki jo lahko pošlje. Ni pa dokazala, kateri stolpec, algoritem ali knjižnica jo je ustvarila. Razlika je pomembna, ker je ugotovitev resnična in je sklep, ki ga ljudje iz nje potegnejo, običajno preveč konkreten. Reverzibilnost nekje na poti je mehanizem; domnevna oblika shranjevanja ni.

Dokaze držite na tej ravni in preostali del pregleda ostane natančen.

Kaj dokazuje vrnitev stare skrivnosti

Enosmerni preverjalnik ne more ustvariti izvirnega gesla, ker je bil zasnovan tako, da ni obrnljiv. Če lahko storitev geslo pošlje po e-pošti, potem ima v tistem trenutku gradivo, iz katerega je geslo mogoče obnoviti, ali pa prestreže in shrani odprto besedilo pred zgoščevanjem. V vsakem primeru je pot obnovitve reverzibilna, in to je resnična varnostna ugotovitev. Ne pove ničesar o tem, ali ista zbirka podatkov za druge stolpce uporablja drago zgoščeno vrednost.

Bodite pozorni tudi na vmesni primer: shranjen šifriran blob s ključem, ki ga ima aplikacija, je v praksi reverzibilen, čeprav beseda šifriran v poročilu zveni pomirjujoče.

Zakaj je to ugotovitev o zasnovi, ne zemljevid shranjevanja

E-pošta dokazuje obnovljivost in ne določa natančne sheme. Lahko je odprto besedilo, deterministično šifriranje, rutina zabrisovanja ponudnika ali ločeno skladišče poverilnic, ki se uporablja samo za obnovitev. Različni deli izdelka pogosto uporabljajo različno shranjevanje. Pripisati algoritem na podlagi ene e-pošte je trditev, ki se na naslednjem sestanku sesuje.

Kar lahko rečete, je ožje in bolj uporabno: ta pot lahko obnovi skrivnost, zato izdelek ne more trditi, da ni obnovljivih poverilnic. Vse onkraj tega zahteva dokaze upravljavca.

Zgradite ponastavitev okoli avtorizacije

Ponastavitev rešuje drugo težavo: dokazati, da sme prosilec izbrati novo geslo. Smernice OWASP o tem opisujejo varno ustvarjene enkratne žetone ali kode z ustreznim potekom in fazo zahteve obravnavajo kot nekaj, kar je treba zaščititi pred naštevanjem in poplavo. Neoverjena zahteva ne sme sama spremeniti računa. Preden sprejmete zamenjavo, preverite avtorizacijo, in po eni uspešni uporabi žeton onemogočite.

E-poštni kanal je del varnostnega modela. Imeti ime računa ne dokazuje ničesar, in tok ponastavitve, ki razkrije, ali račun obstaja, napadalcu da imenik za delo.

Razveljavite tisto, kar je geslo varovalo

Sprememba gesla samodejno ne konča dostopa, ki ga je omogočala. Aktivne seje VPN, zapomnjena naprave in žetoni, ki jih izda strežnik, imajo lahko vsak svoje vedenje pri razveljavitvi. Zavestno odločite, katere od njih se morajo končati, in preverite, ali izvedba to počne, ker se uporabnik, ki domneva, da ga je ponastavitev odjavila povsod, pogosto moti. To odločitev zabeležite skupaj s tokom.

Za upravljavce: dokumentirajte, katera komponenta preveri zahtevo, katera spremeni poverilnice in kako se obravnavajo povezane seje. Za uporabnike: zaščitite zakonit kanal obnovitve in vsako sporočilo, ki vrne geslo, obravnavajte kot sumljivo.

Natančna ocena je kratka: kaj sporočilo dokazuje, kaj ostaja neznano in ali obnovitev nadomesti dostop z nadzorovanim postopkom.