Trajto një numër llogarie sekret si kredencial: auditoje atë

Një fushë e etiketuar si numër llogarie nuk është automatikisht referencë publike, dhe etiketa nuk është testi. Testi është çfarë lejon zotërimi: nëse njohja e numrit fut dikë, shkarkon një profil lidhjeje ose autorizon një pajisje, ai numër është kredencial me cikël jete. Unë kryej pesë kontrollet më poshtë sa herë që një shërbim lëshon një identitet numerik dhe e quan të pafajshëm. Secili prodhon një rresht në një regjistër të shkurtër, dhe regjistri është produkti, jo një verdikt për produktin.

Inventarizo çfarë jep zotërimi në të vërtetë

Shkruaj veçmas çdo veprim që hap numri. Hyrja në portal, marrja e një skedari konfigurimi, autorizimi i një pajisjeje të re dhe ofrimi i një hyrjeje tuneli të pranuar janë autoritete të ndryshme, dhe një shërbim mund të zbatojë njërën pa të tjerat. Një portal që pranon numrin si fushën e vetme nuk thotë asgjë për si tuneli vërteton homologun e vet më vonë ose si nxirren çelësat e trafikut.

Modeli i përgjithshëm është i lehtë për t'u formuluar: një kredencial bearer është ai që mbajtësi mund ta përdorë pa provuar zotërimin e një çelësi kriptografik të veçantë, dhe ky është dallimi që RFC 6750 tërheq për tokenët. Kjo është krahasim, jo pretendim se një shërbim i bazuar në numër zbaton OAuth. Nëse mbajtësi nuk ka nevojë për asgjë tjetër, trajto numrin si sekret bearer dhe klasifiko pjesën tjetër të projektimit në përputhje me këtë.

Mbroje si sekret, jo si referencë

Ruajtja rrjedh nga klasifikimi. Një vlerë që fut duhet të jetë në një menaxher fjalëkalimesh, jo në një pamje ekrani, histori clipboard-i, mesazh bisede ose shënim shfletuesi. Pamjet e ekranit janë rrjedhja e zakonshme: numri është i shkurtër dhe duket i pafajshëm, kështu që përfundon në një temë mbështetjeje që jeton më gjatë se pajisja nga e cila erdhi.

Phishing është mënyra tjetër e dështimit, dhe nuk i intereson sa i rastësishëm është numri. Një mashtrues që do vlerën do të kërkojë ta ngjitësh në një formular, dhe një kredencial që nuk skadon kurrë dhe nuk ka një faktor të dytë ia vlen mundimi. Arri në rrugën e hyrjes nga një faqeshënues ose adresë e njohur, jo nga një lidhje në një mesazh që kërkon gjithashtu numrin.

Trajto materialin e rikuperimit si pjesë të sekretit. Nëse operatori lëshoi gjithashtu një kod rikuperimi, PIN ose adresë email që mund të rivendosë llogarinë, ato janë kredenciale të veçanta me të njëjtën kërkesë mbrojtjeje. Një kanal i pambrojtur rivendosjeje e kthen çdo kontroll tjetër në dekor.

Kontrollo së bashku rezistencën ndaj hamendjes dhe kufizimin e normës

Gjatësia ka kuptim vetëm pranë metodës së gjenerimit. Një numër i gjatë i prodhuar nga një sekuencë e parashikueshme është më i dobët se një vlerë e shkurtër nga një gjenerator kriptografik, dhe një numër impresionues shifrash nuk vërteton paparashikueshmërinë. Pyet si gjenerohet vlera përpara se të arsyetosh sa e vështirë është ta hamendësosh.

Rezistenca ndaj hamendjes vetëm nuk i bën ballë as një norme të pakufizuar përpjekjesh. Kontrollet që kanë rëndësi janë ato që zbaton operatori: numërues të përpjekjeve të dështuara, bllokime, kufizim për burim dhe nëse një numër i gabuar dallohet nga një që nuk ekziston. Nëse shërbimi e mbështet, një përpjekje e dështuar tregon si duket gabimi dhe nëse shfaqet një numërues ripërpjekjesh:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

Regjistro çfarë zbulon përgjigjja. Një gabim i veçantë për një llogari të panjohur është orakull numërimi edhe kur numri është i pamendueshëm, dhe ky gjetje i përket regjistrit, pavarësisht nëse mund ta rregullosh nga ana e klientit apo jo.

Planifiko rrotullimin dhe revokimin përpara se t'i duash

Gjej procedurën e mbështetur për një numër të humbur ose të ekspozuar dhe shkruaje ndërsa gjithçka funksionon. A mund të zëvendësohet fare kredenciali i llogarisë? A i bën zëvendësimi të pavlefshme pajisjet e regjistruara, sesionet aktive ose konfigurimin e shkarkuar? Çfarë materiali rikuperimi kërkon procedura? Një shërbim pa varësi nga email-i mund t'i transferojë përdoruesit më shumë përgjegjësi rikuperimi, gjë që e bën procedurën më të rëndësishme, jo më pak.

Ndaj zëvendësimin e llogarisë nga revokimi i kredencialit. Nëse numri autorizon shkarkimin e një çelësi, certifikate ose profili, zëvendësimi i numrit mund ta lërë atë material të shkarkuar të vlefshëm, dhe revokimi i materialit të shkarkuar mund të jetë një operacion tjetër me një pronar tjetër. Mos supozoni se një fushë e ndryshuar i përfundon të gjitha lidhjet; kontrollo modelin aktual të operatorit dhe shëno ku e verifikove.

Dokumento vendimin dhe rikontrolloje më vonë

Mbaj një regjistër një faqe për çdo shërbim: çfarë autoritetesh jep numri, ku ruhet, kush mund ta rivendosë, çfarë provash përdorimi ekzistojnë dhe çfarë do të bëje në orën e parë pas zbulimit. Ky regjistër është ai që e kthen një debat për terminologjinë në një vendim që dikush mund ta auditojë.

Pretendimet për privatësi kanë nevojë për fushëveprimin e tyre. Një numër i gjeneruar rastësisht mund të jetë ende një identifikues i qëndrueshëm që lidh ngjarjet e llogarisë me kalimin e kohës; paparashikueshmëria nuk është palidhshmëri, dhe asnjëra veti nuk thotë asgjë për metadata rrjeti të ruajtura. Krahaso projektime të plota në vend që të numërosh fusha në një ekran hyrjeje.

Përpara se ta regjistroni:

• Çdo autoritet që jep numri është i listuar, përfshirë shkarkimet dhe autorizimin e pajisjeve.
• Kanalet e ruajtjes dhe rikuperimit mbrohen me të njëjtin standard si vetë numri.
• Metoda e gjenerimit dhe kufijtë e normës njihen, nuk supozohen nga gjatësia.
• Ekzistojnë një procedurë zëvendësimi dhe një procedurë revokimi, dhe ju e dini cila anulon cilën.
• Regjistri përmend kush mund ta rivendosë vlerën dhe çfarë provash mbeten pas përdorimit.