Barua pepe ya nenosiri hudhihirisha urejeshaji, si mpango

Huduma inayotuma nenosiri la sasa la mtumiaji kwa barua pepe imedhihirisha jambo moja: inaweza kupata siri hiyo katika umbo ambalo inaweza kuituma. Haijadhihirisha safu, algoriti au maktaba ipi iliiunda. Tofauti hii ni muhimu kwa sababu ugunduzi ni wa kweli na hitimisho ambalo watu huchukua kutoka kwake kwa kawaida huwa mahususi kupita kiasi. Urejeshaji mahali fulani kwenye njia ndio utaratibu; umbo la hifadhi lililokisiwa sivyo.

Weka ushahidi katika kiwango hicho, na sehemu iliyobaki ya mapitio itabaki sahihi.

Kurudisha siri ya zamani kunadhihirisha nini

Kithibitishaji cha njia moja hakiwezi kutoa nenosiri asilia, kwa sababu kimeundwa kisiweze kurudishwa. Ikiwa huduma inaweza kutuma nenosiri kwa barua pepe, basi wakati huo inashikilia nyenzo ambazo nenosiri linaweza kurejeshwa kutoka humo, au inanasa na kuhifadhi maandishi wazi kabla ya hashing. Kwa vyovyote njia ya urejeshaji inaweza kurudishwa, na huo ni ugunduzi halisi wa usalama. Hilo halisemi chochote kuhusu kama hifadhidata hiyo hiyo inatumia hashi ya gharama kubwa kwa safu nyingine.

Angalia pia kisa cha kati: blob iliyosimbwa iliyohifadhiwa na ufunguo unaoshikiliwa na programu inaweza kurudishwa kivitendo, ingawa neno lililosimbwa linasikika kuliwaza katika ripoti.

Kwa nini ni ugunduzi wa muundo, si ramani ya hifadhi

Barua pepe inadhihirisha uwezekano wa kurejeshwa na haitambui mpango kamili. Inaweza kuwa maandishi wazi, usimbaji thabiti, utaratibu wa kufifisha wa msambazaji, au hazina tofauti ya vitambulisho inayotumika kwa urejeshaji pekee. Sehemu tofauti za bidhaa mara nyingi hutumia hifadhi tofauti. Kugawa algoriti kwa msingi wa barua pepe moja ni aina ya madai ambayo huanguka katika mkutano unaofuata.

Unaweza kusema kwa njia nyembamba na yenye manufaa zaidi: njia hii inaweza kurejesha siri, kwa hiyo bidhaa haiwezi kudai kuwa hakuna kitambulisho kinachoweza kurejeshwa. Kila kitu zaidi ya hapo kinahitaji ushahidi wa mwendeshaji.

Jenga uwekaji upya kuzunguka idhini

Uwekaji upya hutatua tatizo lingine: kudhihirisha kuwa mwombaji anaweza kuchagua nenosiri jipya. Mwongozo wa OWASP kuhusu hili unaeleza tokeni au misimbo ya matumizi ya mara moja iliyozalishwa kwa usalama na muda unaofaa wa kuisha, na inachukua hatua ya ombi kama kitu kinachopaswa kulindwa dhidi ya uhesabuji na mafuriko. Ombi lisilothibitishwa halipaswi kubadilisha akaunti yenyewe. Thibitisha idhini kabla ya kukubali badala, na ufanye tokeni isitumike baada ya matumizi moja yenye mafanikio.

Njia ya barua pepe ni sehemu ya modeli ya usalama. Kumiliki jina la akaunti hakudhihirishi chochote, na mtiririko wa uwekaji upya unaofichua kama akaunti ipo unampa mvamizi mwongozo wa kufanyia kazi.

Batilisha kile ambacho nenosiri liliilinda

Kubadilisha nenosiri hakumalizi kiotomatiki ufikiaji ambao ulitoa. Vikao hai vya VPN, vifaa vilivyokumbukwa na tokeni zinazotolewa na seva kila kimoja kinaweza kuwa na tabia yake ya ubatilishaji. Amua kwa makusudi ni vipi kati yao vinapaswa kuisha, na thibitisha kuwa utekelezaji unafanya hivyo, kwa sababu mtumiaji anayedhani uwekaji upya umemtoa kwenye kila mahali mara nyingi hukosea. Rekodi uamuzi huo pamoja na mtiririko.

Kwa waendeshaji: andika ni sehemu ipi inayothibitisha ombi, ipi inabadilisha kitambulisho na jinsi vikao vinavyohusiana vinavyoshughulikiwa. Kwa watumiaji: linda njia halali ya urejeshaji na chukulia ujumbe wowote unaorudisha nenosiri kama wa kutiliwa shaka.

Tathmini sahihi ni fupi: ujumbe unadhihirisha nini, nini kinabaki hakijulikani, na kama urejeshaji unabadilisha ufikiaji kupitia mchakato unaodhibitiwa.