อีเมลรหัสผ่านพิสูจน์การย้อนกลับได้ ไม่ใช่รูปแบบการเก็บ

บริการที่ส่งรหัสผ่านปัจจุบันของผู้ใช้ทางอีเมลพิสูจน์แล้วว่าสามารถเข้าถึงความลับนั้นในรูปแบบที่ส่งออกไปได้ แต่ไม่ได้พิสูจน์ว่าคอลัมน์ อัลกอริทึม หรือไลบรารีใดสร้างมันขึ้นมา ความแตกต่างนี้สำคัญเพราะสิ่งที่พบเป็นเรื่องจริง และข้อสรุปที่ผู้คนดึงออกมามักเจาะจงเกินไป การย้อนกลับได้ที่ใดที่หนึ่งในเส้นทางคือกลไก แต่รูปแบบการเก็บที่เดาขึ้นมาไม่ใช่

รักษาหลักฐานไว้ที่ระดับนั้น แล้วส่วนที่เหลือของการตรวจสอบจะยังคงแม่นยำ

การส่งความลับเก่ากลับไปพิสูจน์อะไร

ตัวตรวจสอบแบบทางเดียวไม่สามารถสร้างรหัสผ่านเดิมได้ เพราะออกแบบมาให้ย้อนกลับไม่ได้ หากบริการส่งรหัสผ่านทางอีเมลได้ ในขณะนั้นบริการก็ถือวัสดุที่ใช้กู้รหัสผ่านได้ หรือดักจับและเก็บข้อความธรรมดาไว้ก่อนแฮช ไม่ว่าทางใดเส้นทางกู้คืนก็ย้อนกลับได้ และนั่นคือข้อค้นพบด้านความปลอดภัยที่แท้จริง ทั้งนี้ไม่ได้บอกอะไรว่าฐานข้อมูลเดียวกันใช้แฮชที่มีต้นทุนสูงกับคอลัมน์อื่นหรือไม่

สังเกตกรณีกลางด้วย บลอบที่เข้ารหัสและเก็บไว้พร้อมกุญแจที่แอปพลิเคชันถืออยู่นั้นย้อนกลับได้ในทางปฏิบัติ แม้คำว่าเข้ารหัสจะฟังดูปลอดภัยในรายงาน

ทำไมจึงเป็นข้อค้นพบเชิงออกแบบ ไม่ใช่แผนที่การเก็บ

อีเมลพิสูจน์ความสามารถในการกู้คืนและไม่ได้ระบุรูปแบบที่แน่ชัด อาจเป็นข้อความธรรมดา การเข้ารหัสแบบกำหนดได้ กิจวัตรการทำให้คลุมเครือของผู้ขาย หรือที่เก็บข้อมูลรับรองแยกต่างหากที่ใช้เพื่อการกู้คืนเท่านั้น ส่วนต่าง ๆ ของผลิตภัณฑ์มักใช้การเก็บต่างกัน การกำหนดอัลกอริทึมจากอีเมลฉบับเดียวเป็นข้อกล่าวอ้างชนิดที่พังทลายในการประชุมครั้งถัดไป

สิ่งที่พูดได้แคบกว่าและมีประโยชน์กว่าคือ เส้นทางนี้กู้ความลับได้ ผลิตภัณฑ์จึงอ้างไม่ได้ว่าไม่มีข้อมูลรับรองที่กู้คืนได้ ทุกอย่างที่เกินกว่านั้นต้องอาศัยหลักฐานของผู้ให้บริการ

สร้างการรีเซ็ตให้อยู่รอบการอนุญาต

การรีเซ็ตแก้ปัญหาอีกอย่าง คือพิสูจน์ว่าผู้ขอมีสิทธิเลือกใช้รหัสผ่านใหม่ แนวทางของ OWASP เรื่องนี้อธิบายโทเคนหรือรหัสที่สร้างอย่างปลอดภัยและใช้ได้ครั้งเดียวพร้อมวันหมดอายุที่เหมาะสม และถือว่าขั้นตอนการขอเป็นสิ่งที่ต้องป้องกันจากการไล่ลำดับและการท่วม แอปพลิเคชันต้องไม่ยอมให้คำขอที่ไม่ผ่านการยืนยันเปลี่ยนบัญชีได้เอง ตรวจสอบการอนุญาตก่อนยอมรับการแทนที่ และทำให้โทเคนใช้ไม่ได้หลังใช้งานสำเร็จหนึ่งครั้ง

ช่องทางอีเมลเป็นส่วนหนึ่งของแบบจำลองความปลอดภัย การมีชื่อบัญชีไม่ได้พิสูจน์อะไร และกระบวนการรีเซ็ตที่เปิดเผยว่ามีบัญชีอยู่หรือไม่ก็มอบรายการให้ผู้โจมตีใช้ทำงาน

ยกเลิกสิ่งที่รหัสผ่านเคยปกป้อง

การเปลี่ยนรหัสผ่านไม่ได้ยุติการเข้าถึงที่รหัสผ่านนั้นให้ไว้โดยอัตโนมัติ เซสชัน VPN ที่ใช้งานอยู่ อุปกรณ์ที่จดจำไว้ และโทเคนที่เซิร์ฟเวอร์ออกให้ อาจมีพฤติกรรมการยกเลิกของตัวเอง ควรตัดสินใจอย่างตั้งใจว่าสิ่งใดต้องสิ้นสุด และตรวจสอบว่าการใช้งานจริงทำเช่นนั้น เพราะผู้ใช้ที่คิดว่าการรีเซ็ตได้ออกจากระบบทุกที่มักเข้าใจผิด การบันทึกการตัดสินใจนั้นไว้พร้อมกับกระบวนการ

สำหรับผู้ให้บริการ ควรจัดทำเอกสารว่าองค์ประกอบใดตรวจสอบคำขอ องค์ประกอบใดเปลี่ยนข้อมูลรับรอง และจัดการเซสชันที่เกี่ยวข้องอย่างไร สำหรับผู้ใช้ ควรปกป้องช่องทางการกู้คืนที่ชอบด้วยกฎหมาย และถือว่าข้อความใดที่ส่งรหัสผ่านกลับมาเป็นเรื่องน่าสงสัย

การประเมินที่แม่นยำนั้นสั้น ข้อความพิสูจน์อะไร อะไรยังไม่ทราบ และการกู้คืนแทนที่การเข้าถึงด้วยกระบวนการที่ควบคุมไว้หรือไม่