ரகசிய கணக்கு எண்ணை அடையாளச் சான்றாகக் கருதுங்கள்: அதைத் தணிக்கை செய்யுங்கள்

கணக்கு எண் என முத்திரையிடப்பட்ட புலம் தானாகவே பொது மேற்கோள் அல்ல, முத்திரை சோதனை அல்ல. சோதனை என்பது உடைமை எதை அனுமதிக்கிறது என்பது: எண்ணை அறிவது ஒருவரை உள்நுழைவித்தால், இணைப்புச் சுயவிவரத்தைப் பதிவிறக்கினால் அல்லது சாதனத்தை அங்கீகரித்தால், அந்த எண் வாழ்க்கைச் சுழற்சி கொண்ட அடையாளச் சான்று. ஒரு சேவை எண்ணியல் அடையாளத்தை வழங்கி அதைத் தீங்கற்றது எனக் கூறும் ஒவ்வொரு முறையும் கீழே உள்ள ஐந்து சோதனைகளைச் செய்கிறேன். ஒவ்வொன்றும் சிறு பதிவில் ஒரு வரியை உருவாக்குகிறது, பதிவே விளைவு, தயாரிப்பைப் பற்றிய தீர்ப்பு அல்ல.

உடைமை உண்மையில் என்ன தருகிறது என்பதைப் பட்டியலிடுங்கள்

எண் திறக்கும் ஒவ்வொரு செயலையும் தனித்தனியாக எழுதுங்கள். போர்ட்டலில் உள்நுழைவது, உள்ளமைவுக் கோப்பைப் பெறுவது, புதிய சாதனத்தை அங்கீகரிப்பது மற்றும் ஏற்கப்பட்ட சுரங்கப்பாதை உள்நுழைவை வழங்குவது வெவ்வேறு அதிகாரங்கள், ஒரு சேவை ஒன்றை மற்றவை இல்லாமல் செயல்படுத்தலாம். எண்ணை ஒரே புலமாக ஏற்கும் போர்ட்டல் இதைப் பற்றி எதுவும் சொல்லாது: சுரங்கப்பாதை தன் சகனை எவ்வாறு அங்கீகரிக்கிறது பின்னர், அல்லது போக்குவரத்து விசைகள் எவ்வாறு பெறப்படுகின்றன.

பொது மாதிரியைச் சொல்வது எளிது: bearer அடையாளச் சான்று என்பது வைத்திருப்பவர் தனி குறியாக்க விசையை வைத்திருப்பதை நிரூபிக்காமல் பயன்படுத்தக்கூடியது, அதுவே RFC 6750 டோக்கன்களுக்காக வரையும் வேறுபாடு. இது ஒரு ஒப்பீடு, எண் அடிப்படையிலான சேவை OAuth செயல்படுத்துகிறது என்பதற்கான கூற்று அல்ல. வைத்திருப்பவருக்கு வேறு எதுவும் தேவையில்லை என்றால், எண்ணை bearer இரகசியமாகக் கருதி மீதமுள்ள வடிவமைப்பை அதற்கேற்ப வகைப்படுத்துங்கள்.

அதை மேற்கோள் போல அல்ல, இரகசியம் போலப் பாதுகாக்கவும்

சேமிப்பு வகைப்பாட்டிலிருந்து வருகிறது. உள்நுழைவிக்கும் மதிப்பு கடவுச்சொல் மேலாளரில் இருக்க வேண்டும், திரைப்பிடிப்பு, ஒட்டுப்பலகை வரலாறு, அரட்டைச் செய்தி அல்லது உலாவி குறிப்பில் அல்ல. திரைப்பிடிப்புகள் வழக்கமான கசிவு: எண் குறுகியது, தீங்கற்றதாகத் தெரிகிறது, எனவே அது வந்த சாதனத்தை விட நீண்டு வாழும் ஆதரவு இழையில் முடிகிறது.

ஃபிஷிங் இரண்டாவது தோல்வி முறை, எண் எவ்வளவு சீரற்றது என்பதைப் பற்றி அதற்குக் கவலையில்லை. மதிப்பை விரும்பும் மோசடியாளர் அதைப் படிவத்தில் ஒட்டச் சொல்வார், காலாவதியாகாத, இரண்டாம் காரணி இல்லாத அடையாளச் சான்று முயற்சிக்குத் தகுதியானது. உள்நுழைவு பாதையைப் புக்மார்க் அல்லது தெரிந்த முகவரியிலிருந்து அடையுங்கள், எண்ணையும் கேட்கும் செய்தியின் இணைப்பிலிருந்து அல்ல.

மீட்புப் பொருளை இரகசியத்தின் பகுதியாகக் கருதுங்கள். இயக்குபவர் மீட்புக் குறியீடு, PIN அல்லது கணக்கை மீட்டமைக்கக்கூடிய மின்னஞ்சல் முகவரியையும் வழங்கியிருந்தால், அவை அதே பாதுகாப்புத் தேவை கொண்ட தனி அடையாளச் சான்றுகள். ஒரு பாதுகாப்பற்ற மீட்டமைப்பு வழித்தடம் மற்ற எல்லாக் கட்டுப்பாடுகளையும் அலங்காரமாக்கிவிடும்.

ஊக எதிர்ப்பையும் விகித வரம்பையும் ஒன்றாகச் சோதியுங்கள்

நீளம் உற்பத்தி முறையின் அருகில் மட்டுமே பொருள் பெறுகிறது. முன்கணிக்கக்கூடிய வரிசையிலிருந்து உருவான நீண்ட எண் குறியாக்க உருவாக்கியிலிருந்து வந்த குறுகிய மதிப்பை விட பலவீனமானது, ஈர்க்கக்கூடிய இலக்க எண்ணிக்கை கணிக்க முடியாத்தன்மையை நிரூபிக்காது. மதிப்பு எவ்வாறு உருவாகிறது எனக் கேளுங்கள், அதை ஊகிப்பது எவ்வளவு கடினம் என்று சிந்திப்பதற்கு முன்.

ஊக எதிர்ப்பு மட்டும் வரம்பற்ற முயற்சி விகிதத்தைத் தாங்காது. முக்கியக் கட்டுப்பாடுகள் இயக்குபவர் செயல்படுத்துவன: தோல்வி முயற்சி எண்ணிகள், பூட்டுகள், மூலவாரி வரம்பு, தவறான எண் இல்லாத ஒன்றிலிருந்து வேறுபடுத்தப்படுகிறதா என்பது. சேவை இதை ஆதரித்தால், ஒரு தோல்வி முயற்சி பிழை எப்படி இருக்கிறது, மீண்டும் முயற்சி எண்ணி தோன்றுகிறதா எனக் காட்டும்:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

பதில் என்ன வெளிப்படுத்துகிறது எனப் பதிவு செய்யுங்கள். அறியாத கணக்கிற்கான தனிப் பிழை எண்ணிக்கை ஆரக்கிள், எண்ணை ஊகிக்க முடியாவிட்டாலும், இந்தக் கண்டுபிடிப்பு பதிவுக்கு உரியது, வாடிக்கையாளர் பக்கத்திலிருந்து சரிசெய்ய முடிந்தாலும் இல்லாவிட்டாலும்.

சுழற்சியையும் ரத்தையும் தேவைக்கு முன் திட்டமிடுங்கள்

தொலைந்த அல்லது வெளிப்பட்ட எண்ணுக்கான ஆதரவு நடைமுறையைக் கண்டறிந்து எல்லாம் வேலை செய்யும்போது எழுதுங்கள். கணக்கின் அடையாளச் சான்றை மாற்ற முடியுமா? மாற்றம் ஏற்கனவே பதிவுசெய்யப்பட்ட சாதனங்கள், செயலில் உள்ள அமர்வுகள் அல்லது பதிவிறக்கிய உள்ளமைவை செல்லாததாக்குமா? நடைமுறை எந்த மீட்புப் பொருளைக் கோருகிறது? மின்னஞ்சல் சார்பு இல்லாத சேவை பயனருக்கு அதிக மீட்புப் பொறுப்பை மாற்றலாம், இது நடைமுறையை மேலும் முக்கியமாக்குகிறது, குறைவாக அல்ல.

கணக்கு மாற்றத்தை அடையாளச் சான்று ரத்திலிருந்து பிரிக்கவும். எண் ஒரு விசை, சான்றிதழ் அல்லது சுயவிவரத்தைப் பதிவிறக்க அதிகாரம் தந்தால், எண்ணை மாற்றுவது அந்தப் பதிவிறக்கிய பொருளை செல்லுபடியாக விடலாம், பதிவிறக்கிய பொருளை ரத்து செய்வது வேறு உரிமையாளரின் வேறு செயல்பாடாக இருக்கலாம். மாறிய ஒரு புலம் ஒவ்வொரு இணைப்பையும் முடிக்கும் எனக் கருத வேண்டாம்; இயக்குபவரின் உண்மையான மாதிரியைச் சோதித்து எங்கு உறுதிப்படுத்தினீர்கள் என எழுதுங்கள்.

முடிவை ஆவணப்படுத்தி பின்னர் மீண்டும் சோதியுங்கள்

ஒவ்வொரு சேவைக்கும் ஒரு பக்கப் பதிவை வைத்திருங்கள்: எண் எந்த அதிகாரங்களைத் தருகிறது, எங்கு சேமிக்கப்படுகிறது, யார் அதை மீட்டமைக்கலாம், பயன்பாட்டின் என்ன சான்றுகள் உள்ளன, வெளிப்பாட்டிற்குப் பின் முதல் மணி நேரத்தில் நீங்கள் என்ன செய்வீர்கள். அந்தப் பதிவே சொல்லாடல் விவாதத்தை யாரும் தணிக்கை செய்யக்கூடிய முடிவாக மாற்றுகிறது.

தனியுரிமைக் கூற்றுகளுக்கு அவற்றின் சொந்த எல்லை தேவை. சீரற்ற முறையில் உருவாக்கப்பட்ட எண் இன்னும் கணக்கு நிகழ்வுகளை காலத்தில் இணைக்கும் நிலையான அடையாளங்காட்டியாக இருக்கலாம்; கணிக்க முடியாத்தன்மை இணைக்க முடியாத்தன்மை அல்ல, எந்தப் பண்பும் தக்கவைக்கப்பட்ட வலையமைப்பு மெட்டாதேட்டா பற்றி எதுவும் சொல்லாது. உள்நுழைவுத் திரையில் புலங்களை எண்ணுவதற்குப் பதிலாக முழு வடிவமைப்புகளை ஒப்பிடுங்கள்.

அதைப் பதிவு செய்வதற்கு முன்:

• எண் தரும் அனைத்து அதிகாரங்களும் பட்டியலிடப்பட்டுள்ளன, பதிவிறக்கங்கள் மற்றும் சாதன அங்கீகாரம் உட்பட.
• சேமிப்பு மற்றும் மீட்பு வழித்தடங்கள் எண்ணே இருக்கும் அதே தரத்தில் பாதுகாக்கப்படுகின்றன.
• உற்பத்தி முறையும் விகித வரம்புகளும் தெரிந்தவை, நீளத்திலிருந்து ஊகிக்கப்பட்டவை அல்ல.
• மாற்று நடைமுறையும் ரத்து நடைமுறையும் உள்ளன, எது எதை ரத்து செய்கிறது என்பதை அறிவீர்கள்.
• பதிவு யார் மதிப்பை மீட்டமைக்கலாம், பயன்பாட்டிற்குப் பின் என்ன சான்றுகள் எஞ்சுகின்றன என்பதைக் கூறுகிறது.