Ituring ang lihim na numero ng account bilang kredensyal: i-audit ito

Ang field na may label na numero ng account ay hindi awtomatikong pampublikong sanggunian, at ang label ay hindi pagsubok. Ang pagsubok ay kung ano ang pinapayagan ng pagmamay-ari: kung ang pag-alam sa numero ay nagpapa-sign in sa isang tao, nagda-download ng profile ng koneksyon o nagpapahintulot sa device, ang numerong iyon ay kredensyal na may lifecycle. Ginagawa ko ang limang pagsusuri sa ibaba sa tuwing naglalabas ang isang serbisyo ng numeric na pagkakakilanlan at tinatawag itong walang pinsala. Bawat isa ay gumagawa ng isang linya sa maikling talaan, at ang talaan ang deliverable, hindi hatol tungkol sa produkto.

I-inventory kung ano talaga ang ibinibigay ng pagmamay-ari

Isulat nang hiwalay ang bawat aksyon na binubuksan ng numero. Ang pag-sign in sa portal, pagkuha ng configuration file, pagpapahintulot sa bagong device at pagbibigay ng tinatanggap na tunnel login ay magkakaibang awtoridad, at ang isang serbisyo ay maaaring magpatupad ng isa nang wala ang iba. Ang portal na tumatanggap sa numero bilang nag-iisang field ay walang sinasabi tungkol sa kung paano ina-authenticate ng tunnel ang peer nito mamaya o kung paano hinango ang mga traffic key.

Ang pangkalahatang modelo ay madaling sabihin: ang bearer na kredensyal ay ang magagamit ng may hawak nang hindi pinapatunayan ang pagmamay-ari ng hiwalay na cryptographic key, at iyon ang pagkakaibang RFC 6750 iginuhit para sa mga token. Ito ay paghahambing, hindi pag-aangkin na ang serbisyong nakabatay sa numero ay nagpapatupad ng OAuth. Kung wala nang kailangan ang may hawak, ituring ang numero bilang bearer secret at i-classify ang natitirang disenyo ayon dito.

Protektahan ito bilang lihim, hindi bilang sanggunian

Ang imbakan ay sumusunod sa klasipikasyon. Ang halagang nagpapa-sign in ay nabibilang sa password manager, hindi sa screenshot, kasaysayan ng clipboard, chat message o browser note. Ang mga screenshot ang karaniwang leak: maikli ang numero at mukhang walang pinsala, kaya napupunta ito sa support thread na mas matagal kaysa sa device na pinagmulan nito.

Ang phishing ang isa pang failure mode, at wala itong pakialam kung gaano ka-random ang numero. Hihilingin ng impostor na gustong makuha ang halaga na i-paste mo ito sa isang form, at ang kredensyal na hindi kailanman nag-expire at walang second factor ay sulit paghirapan. Puntahan ang login path mula sa bookmark o kilalang address, hindi mula sa link sa mensaheng humihingi rin ng numero.

Ituring ang recovery material bilang bahagi ng lihim. Kung naglabas din ang operator ng recovery code, PIN o email address na makakapag-reset ng account, hiwalay ang mga itong kredensyal na may parehong pangangailangan sa proteksyon. Ang isang hindi protektadong reset channel ay ginagawang dekorasyon ang bawat iba pang kontrol.

Suriin nang sabay ang resistensya sa hula at limitasyon sa rate

May kahulugan lamang ang haba sa tabi ng paraan ng pagbuo. Ang mahabang numero mula sa predictable na sequence ay mas mahina kaysa sa maikling halaga mula sa cryptographic generator, at ang kahanga-hangang bilang ng digit ay hindi nagpapatunay ng hindi mahulaan. Itanong kung paano ginagawa ang halaga bago mag-isip kung gaano ito kahirap hulaan.

Ang resistensya sa hula lamang ay hindi rin nakakayanan ang walang limitasyong rate ng pagtatangka. Ang mahalagang kontrol ay ang ipinapatupad ng operator: counters ng nabigong pagtatangka, lockouts, throttling kada source at kung ang maling numero ay nakikilala mula sa wala. Kung sinusuportahan ito ng serbisyo, ang isang nabigong pagtatangka ay nagpapakita kung ano ang error at kung may lumalabas na retry counter:

# one attempt, then read the response and any counter or delay
# do not script repeated guesses against a live account
curl -i -X POST https://portal.example.invalid/login -d "account=000000000000"

Itala kung ano ang ibinubunyag ng tugon. Ang hiwalay na error para sa hindi kilalang account ay enumeration oracle kahit hindi mahulaan ang numero, at ang natuklasang iyon ay kabilang sa talaan, mababago mo man ito mula sa client side o hindi.

Planuhin ang pag-ikot at pagbawi bago kailanganin

Hanapin ang sinusuportahang proseso para sa nawala o naexpose na numero at isulat ito habang gumagana ang lahat. Mapapalitan ba ang kredensyal ng account? Binabalewala ba ng pagpapalit ang mga nakarehistrong device, aktibong session o na-download na configuration? Anong recovery material ang hinihingi ng proseso? Ang serbisyong walang dependency sa email ay maaaring maglipat ng mas maraming responsibilidad sa recovery sa user, na ginagawang mas mahalaga ang pamamaraan, hindi menos.

Ihiwalay ang pagpapalit ng account sa pagbawi ng kredensyal. Kung pinapahintulutan ng numero ang pag-download ng key, certificate o profile, maaaring iwan ng pagpapalit ng numero na valid ang na-download na materyal, at ang pagbawi ng na-download na materyal ay maaaring ibang operasyon na may ibang may-ari. Huwag ipagpalagay na ang isang binagong field ay nagtatapos sa bawat koneksyon; suriin ang aktwal na modelo ng operator at itala kung saan mo ito na-verify.

Idokumento ang desisyon at suriin muli mamaya

Magtago ng isang pahinang talaan kada serbisyo: anong awtoridad ang ibinibigay ng numero, saan ito nakaimbak, sino ang makakapag-reset, anong ebidensya ng paggamit ang umiiral at ano ang gagawin mo sa unang oras pagkatapos ng pagbubunyag. Ang talaang iyon ang nagpapalit ng debate tungkol sa terminolohiya tungo sa desisyong maaaring i-audit ng isang tao.

Ang mga pag-aangkin sa privacy ay kailangan ng sariling saklaw. Ang random na nabuong numero ay maaari pa ring maging stable identifier na nag-uugnay ng mga kaganapan sa account sa paglipas ng panahon; ang hindi mahulaan ay hindi hindi-maiuugnay, at wala sa mga katangian ang nagsasabi ng anuman tungkol sa itinatagong network metadata. Ihambing ang kumpletong disenyo sa halip na bilangin ang mga field sa login screen.

Bago mo ito itala:

• Nakalista ang lahat ng awtoridad na ibinibigay ng numero, kabilang ang mga download at device authorization.
• Ang mga channel ng imbakan at recovery ay protektado sa parehong pamantayan gaya ng numero mismo.
• Ang paraan ng pagbuo at mga limitasyon sa rate ay alam, hindi ipinapalagay mula sa haba.
• May proseso ng pagpapalit at proseso ng pagbawi, at alam mo kung alin ang nagkakansela ng alin.
• Isinasaad ng talaan kung sino ang makakapag-reset ng halaga at anong ebidensya ang natitira pagkatapos ng paggamit.