หน้าเปลี่ยนรหัสผ่าน VPN: ให้สอดคล้องกับที่เก็บข้อมูลตัวตน

เปิดหน้าเปลี่ยนรหัสผ่านและอ่านอย่างที่ผู้ใช้จะอ่าน แล้วถามว่าบริการใดเป็นเจ้าของข้อมูลรับรองจริง ๆ หน้าเว็บเป็นแบบฟอร์ม ส่วนที่เก็บข้อมูลตัวตนคือผู้มีอำนาจ หากทั้งสองไม่ตรงกัน ผู้ใช้จะพบรหัสผ่านที่ถูกปฏิเสธ การรีเซ็ตที่ไม่รีเซ็ตอะไรเลย หรือข้อความสำเร็จที่ไม่เปลี่ยนอะไรเลย การไล่ตามเส้นทางตั้งแต่หน้าจอจนถึง backend คือวิธีเดียวที่จะจับได้

เริ่มจากการจำแนกการดำเนินการ: การเปลี่ยนปกติ การไหลของรหัสผ่านที่หมดอายุ หรือการกู้คืนหลังลืมรหัสผ่าน

สามการดำเนินการ สามขั้นตอนการทำงาน

การเปลี่ยนปกติถือว่าผู้ใช้รู้รหัสผ่านปัจจุบันและพิสูจน์ได้ การไหลของรหัสผ่านที่หมดอายุอาจอนุญาตเซสชันจำกัดที่อนุญาตเฉพาะการเปลี่ยน การกู้คืนหลังลืมรหัสผ่านต้องใช้หลักฐานตัวตนที่แตกต่างไปโดยสิ้นเชิง และอาจมอบหมายให้ผู้ให้บริการตัวตนแทนการจัดการที่เกตเวย์ VPN แต่ละอย่างมีปลายทาง การสนับสนุนจาก backend และกฎเซสชันของตนเอง และแบบฟอร์มเดียวไม่สามารถให้บริการทั้งสามอย่างถูกต้องได้

ในการติดตั้งแบบสหพันธ์ เกตเวย์อาจไม่เก็บรหัสผ่านใหม่เลย ตรวจสอบว่ากระบวนการเปลี่ยนเส้นทางไปยังผู้ให้บริการตัวตนหรือไม่ และข้อความบนหน้ายังอธิบายแบบฟอร์มภายในหรือไม่

นโยบายมาจากไหนจริง ๆ

ถามเจ้าของตัวตนเกี่ยวกับความยาวที่อนุญาต ชุดอักขระ และข้อจำกัดที่เกี่ยวข้อง แล้วเขียนคำแนะนำให้สอดคล้อง การสร้างกฎการประกอบขึ้นเองในข้อความช่วยเหลือ หรือสัญญาว่าจะยอมรับสิ่งที่ backend ปฏิเสธ ทั้งสองอย่างทำให้เกิดตั๋วสนับสนุน คำแนะนำของ NIST เกี่ยวกับตัวตนดิจิทัลเอนไปทางคำแนะนำที่ชัดเจนและข้อเสนอแนะที่เป็นประโยชน์มากกว่ากฎตามอำเภอใจ ขณะที่นโยบายจริงขององค์กรยังคงมีผล สิ่งพิมพ์ไม่ใช่หลักฐานว่าบัญชีรายชื่อหนึ่ง ๆ ประพฤติเช่นนั้นอยู่แล้ว

ทำให้ข้อความแสดงข้อผิดพลาดมีประโยชน์โดยไม่เปิดเผยความลับ ข้อความที่สะท้อนรหัสผ่านที่พิมพ์บางส่วน หรือภาพหน้าจอในตั๋วที่มีรหัสผ่านนั้น ทำให้สิ่งประดิษฐ์สนับสนุนกลายเป็นการเปิดเผยข้อมูลรับรอง

ถ้อยคำที่ตรงกับ backend

หน้าควรระบุชื่อขั้นตอนการทำงานแทนการอธิบายนโยบายแบบนามธรรม บอกว่าการเปลี่ยนเกิดขึ้นที่ใด ต้องใช้หลักฐานอะไร และเกิดอะไรขึ้นกับเซสชันอื่น หากการเปลี่ยนออกจากระบบทุกที่ ให้บอกเช่นนั้น หากปล่อยให้อุปกรณ์อื่นใช้งานอยู่ ก็บอกเช่นกัน ผู้ใช้ที่สับสนและลองเปลี่ยนที่สำเร็จซ้ำคือต้นทุนสนับสนุนที่ถ้อยคำที่ดีกว่าป้องกันได้

การแปลภาษาเปลี่ยนน้ำเสียงของคำแนะนำได้ แต่เปลี่ยนสิ่งที่ backend ยอมรับไม่ได้

ทดสอบกระบวนการ ไม่ใช่หน้าเว็บ

ใช้บัญชีทดสอบที่ได้รับอนุญาตและไล่ตามการเปลี่ยนที่บันทึกไว้ กรณีปฏิเสธ กรณีรหัสผ่านหมดอายุ และการลงชื่อเข้าใช้ถัดไป หาก MFA หรือการเปลี่ยนเส้นทางแบบสหพันธ์เป็นส่วนหนึ่งของกระบวนการที่อนุมัติ ให้ไล่ตามสิ่งนั้นด้วย หน้าที่แสดงผลถูกต้องได้ตรวจสอบการนำเสนอและไม่มีอะไรอื่น เพราะบริการตัวตนเป็นผู้ตัดสินว่าการดำเนินการกับข้อมูลรับรองเสร็จสมบูรณ์หรือไม่

บันทึกผลของแต่ละกรณีพร้อมบัญชีที่ใช้และเวลา กระบวนการที่ทำงานได้ครั้งเดียวสำหรับผู้ดูแลระบบแต่ล้มเหลวสำหรับผู้ใช้ทั่วไปเป็นผลลัพธ์ที่พบบ่อย และบันทึกคือสิ่งที่ทำให้มองเห็น

จากนั้นอัปเดตหน้าเพื่ออธิบายว่าเกิดอะไรขึ้นจริง นั่นคืองานทั้งหมด