Parol haqidagi xat qaytarilishni isbotlaydi, sxemani emas

Foydalanuvchining hozirgi parolini elektron pochta orqali yuboradigan xizmat bir narsani isbotladi: u bu sirni yubora oladigan shaklda olishi mumkin. Lekin uni qaysi ustun, algoritm yoki kutubxona yaratganini isbotlamadi. Bu farq muhim, chunki topilma haqiqiy va odamlar undan chiqaradigan xulosa odatda keragidan ortiq aniq bo'ladi. Yo'lda qayerdadir qaytarilish bu mexanizm; taxmin qilingan saqlash formati emas.

Dalillarni shu darajada saqlang, ko'rib chiqishning qolgan qismi aniq bo'lib qoladi.

Eski sirni qaytarib yuborish nimani isbotlaydi

Bir tomonlama tekshiruvchi asl parolni yarata olmaydi, chunki u qaytarilmaydigan qilib loyihalangan. Agar xizmat parolni elektron pochta orqali yubora olsa, demak o shu paytda parolni tiklash mumkin bo'lgan materialni saqlaydi yoki xeshlashdan oldin ochiq matnni ushlab saqlaydi. Ikkala holatda ham tiklash yo'li qaytariladigan, va bu haqiqiy xavfsizlik topilmasi. Bu xuddi shu ma'lumotlar bazasi boshqa ustunlar uchun qimmat xesh ishlatishini aytmaydi.

Oradagi holatga ham e'tibor bering: ilova tutgan kalit bilan saqlangan shifrlangan blok amalda qaytariladigan, garchi hisobotda shifrlangan so'zi taskin beruvchi eshitilsa ham.

Nega bu dizayn topilmasi, saqlash xaritasi emas

Xat tiklanish imkoniyatini isbotlaydi va aniq sxemani aniqlamaydi. Bu ochiq matn, deterministik shifrlash, sotuvchining xiralashtirish tartibi yoki faqat tiklash uchun ishlatiladigan alohida hisob ma'lumotlari ombori bo'lishi mumkin. Mahsulotning turli qismlari ko'pincha turli saqlashdan foydalanadi. Bitta xatga asoslanib algoritm biriktirish keyingi yig'ilishda qulab tushadigan da'vo turidir.

Aytishingiz mumkin bo'lgan narsa torroq va foydaliroq: bu yo'l sirni tiklay oladi, shuning uchun mahsulot tiklanadigan hisob ma'lumotlari yo'q deb da'vo qila olmaydi. Bundan tashqari hamma narsa operatorning dalillarini talab qiladi.

Tiklashni avtorizatsiya atrofida quring

Tiklash boshqa muammoni hal qiladi: so'rovchi yangi parol tanlashga haqli ekanini isbotlash. Bu haqda OWASP yo'riqnomasi xavfsiz yaratilgan, bir marta ishlatiladigan token yoki kodlarni tegishli muddat bilan tavsiflaydi va so'rov bosqichini sanash va suv toshqinidan himoya qilish kerak bo'lgan narsa deb biladi. Autentifikatsiyadan o'tmagan so'rov o'z-o'zidan hisobni o'zgartirmasligi kerak. O'rinbosarni qabul qilishdan oldin avtorizatsiyani tekshiring va bitta muvaffaqiyatli foydalanishdan keyin tokenni yaroqsiz qiling.

Pochta kanali xavfsizlik modelining bir qismi. Hisob nomiga ega bo'lish hech narsani isbotlamaydi, hisob bor-yo'qligini oshkor qiladigan tiklash oqimi esa hujumchiga ishlash uchun yo'riqnoma beradi.

Parol himoya qilgan narsani bekor qiling

Parolni almashtirish u bergan kirishni avtomatik ravishda tugatmaydi. Faol VPN seanslari, eslab qolingan qurilmalar va server chiqargan tokenlarning har birining o'z bekor qilish xulqi bo'lishi mumkin. Ulardan qaysilari tugashi kerakligini ongli ravishda hal qiling va joriy etish buni qilishini tekshiring, chunki tiklash uni hamma joydan chiqarib yubordi deb o'ylaydigan foydalanuvchi ko'pincha adashadi. Bu qarorni oqim bilan birga yozib qo'ying.

Operatorlar uchun: qaysi komponent so'rovni tekshirishini, qaysi biri hisob ma'lumotlarini o'zgartirishini va bog'liq seanslar qanday boshqarilishini hujjatlashtiring. Foydalanuvchilar uchun: qonuniy tiklash kanalini himoya qiling va parolni qaytaradigan har qanday xabarga shubha bilan qarang.

Aniq baholash qisqa: xabar nimani isbotlaydi, nima noma'lum qoladi va tiklash boshqariladigan jarayon orqali kirishni almashtiradimi.