ስለ ደህንነቱ የተጠበቀ የይለፍ ቃል ዳግም ማስጀመር ማወቅ የፈለጋችሁት ነገር ሁሉ። ክፍል 1

ደህንነቱ የተጠበቀ የይለፍ ቃል ዳግም ማስጀመሪያ ባህሪ እንዴት መስራት እንዳለበት በቅርቡ ለማሰብ ጊዜ ነበረኝ፣ መጀመሪያ ይህን ተግባር ስገነባ አሳፋ ድርከዚያም ሌላ ሰው ተመሳሳይ ነገር እንዲያደርግ ሲረዳው. በሁለተኛው ጉዳይ ላይ የዳግም ማስጀመሪያ ተግባሩን እንዴት በደህና መተግበር እንደሚቻል ሁሉንም ዝርዝሮች የያዘውን ወደ ቀኖናዊ ምንጭ አገናኝ ልሰጠው ፈለግሁ። ይሁን እንጂ ችግሩ እንዲህ ዓይነቱ ምንጭ አለመኖሩ ነው, ቢያንስ ለእኔ አስፈላጊ የሚመስሉትን ነገሮች ሁሉ የሚገልጽ አይደለም. ስለዚህ እኔ ራሴ ለመጻፍ ወሰንኩ.

አየህ፣ የተረሱ የይለፍ ቃሎች አለም በእውነቱ በጣም ሚስጥራዊ ነው። ብዙ የተለያዩ፣ ሙሉ በሙሉ ተቀባይነት ያላቸው የአመለካከት ነጥቦች እና ብዙ አደገኛዎች አሉ። እንደ ዋና ተጠቃሚ እያንዳንዳቸውን ብዙ ጊዜ የሚያጋጥሟቸው እድሎች ናቸው። ስለዚህ ማን በትክክል እንደሚሰራ፣ ማን እንዳልሆነ እና ባህሪውን በመተግበሪያዎ ውስጥ ለማግኘት ምን ላይ ማተኮር እንዳለቦት ለማሳየት እነዚህን ምሳሌዎች ለመጠቀም እሞክራለሁ።

የይለፍ ቃል ማከማቻ፡ ሃሺንግ፣ ምስጠራ እና (ጋስ!) ግልጽ ጽሑፍ

የተረሱ የይለፍ ቃሎችን እንዴት ማከማቸት እንዳለብን ከመወያየታችን በፊት ምን ማድረግ እንዳለብን መወያየት አንችልም። የይለፍ ቃሎች በመረጃ ቋቱ ውስጥ ከሶስት ዋና ዋና ዓይነቶች በአንዱ ተከማችተዋል፡-

1. ቀላል ጽሑፍ. የይለፍ ቃል አምድ አለ፣ እሱም በቀላል የጽሁፍ መልክ ይከማቻል።
2. የተመሰጠረ በተለምዶ ሲምሜትሪክ ምስጠራን በመጠቀም (አንድ ቁልፍ ለሁለቱም ምስጠራ እና ምስጠራ ጥቅም ላይ ይውላል) እና የተመሰጠሩት የይለፍ ቃሎች በተመሳሳይ አምድ ውስጥ ይቀመጣሉ።
3. ሃሼድ የአንድ-መንገድ ሂደት (የይለፍ ቃል ሊጠለፍ ይችላል ፣ ግን መሰረዝ አይቻልም); የይለፍ ቃል, ተስፋ ማድረግ እፈልጋለሁ, ጨው ይከተላል, እና እያንዳንዱ በራሱ አምድ ውስጥ ነው.

በቀጥታ ወደ ቀላሉ ጥያቄ እንሂድ፡- የይለፍ ቃሎችን በግልፅ ጽሑፍ ውስጥ በጭራሽ አታከማቹ! በጭራሽ። ለአንድ ነጠላ ተጋላጭነት መርፌዎች፣ አንድ ግድየለሽ ምትኬ ፣ ወይም በደርዘን የሚቆጠሩ ሌሎች ቀላል ስህተቶች - እና ያ ነው ፣ gameover ፣ ሁሉም የይለፍ ቃሎችዎ - ማለትም ፣ ይቅርታ ፣ የሁሉም ደንበኞችዎ የይለፍ ቃላት የህዝብ ግዛት ይሆናል። እርግጥ ነው, ይህ ትልቅ ዕድል ማለት ነው ሁሉም የይለፍ ቃሎቻቸው በሌሎች ስርዓቶች ውስጥ ካሉት ሁሉም መለያዎቻቸው. እና የእርስዎ ጥፋት ይሆናል.

ማመስጠር የተሻለ ነው, ግን ድክመቶቹ አሉት. የማመስጠር ችግር ዲክሪፕት ማድረግ ነው; እነዚህን እብድ የሚመስሉ ምስጢሮች ወስደን ወደ ግልጽ ጽሑፍ እንመልሳቸዋለን፣ እና ያ ሲከሰት ሰው ወደሚነበበው የይለፍ ቃል ሁኔታ እንመለሳለን። ይህ እንዴት ይሆናል? ትንሽ እንከን የይለፍ ቃሉን ወደ ሚፈታው ኮድ ውስጥ ይገባል ፣ ይህም በይፋ የሚገኝ ያደርገዋል - ይህ አንዱ መንገድ ነው። ጠላፊዎች ኢንክሪፕት የተደረገ ውሂብ ወደ ሚከማችበት ማሽን መዳረሻ ያገኛሉ - ይህ ሁለተኛው ዘዴ ነው. ሌላ መንገድ, እንደገና, የውሂብ ጎታ መጠባበቂያ ለመስረቅ ነው እና አንድ ሰው ደግሞ ምስጠራ ቁልፍ ያገኛል, ይህም ብዙውን ጊዜ በጣም ደህንነቱ በተጠበቀ ሁኔታ ነው.

እና ይሄ ወደ ሀሺንግ ያመጣናል። ከሃሺንግ በስተጀርባ ያለው ሀሳብ አንድ-መንገድ ነው; በተጠቃሚ የገባውን ይለፍ ቃል ከሃሽ ስሪቱ ጋር ለማነፃፀር የሚቻለው ግቤቱን ሃሽ ማድረግ እና እነሱን ማወዳደር ነው። እንደ የቀስተ ደመና ጠረጴዛዎች ካሉ መሳሪያዎች የሚደርሱ ጥቃቶችን ለመከላከል ሂደቱን በዘፈቀደ እናጨምራለን (የእኔን አንብብ ፖስት ስለ ምስጠራ ማከማቻ). በስተመጨረሻ፣ በትክክል ከተተገበረ፣ የተጠለፉ የይለፍ ቃሎች ዳግም ግልጽ ጽሁፍ እንደማይሆኑ እርግጠኞች መሆን እንችላለን (ስለ የተለያዩ የሃሺንግ ስልተ ቀመሮች ጥቅሞች በሌላ ጽሁፍ እናገራለሁ)።

ስለ hashing vs. encryption ፈጣን መከራከሪያ፡ የይለፍ ቃል ከማስቀመጥ ይልቅ ማመስጠር የሚያስፈልግህ ብቸኛው ምክንያት የይለፍ ቃሉን በግልፅ ፅሁፍ ማየት ስትፈልግ እና ይህንን በጭራሽ መፈለግ የለብዎትም, ቢያንስ በመደበኛ የድር ጣቢያ ሁኔታ. ይህንን ከፈለጉ ምናልባት ምናልባት የሆነ ስህተት እየሰሩ ነው!

እባክዎ ልብ ይበሉ!

በልጥፍ ጽሑፍ ውስጥ የብልግና ድረ-ገጽ AlotPorn ቅጽበታዊ ገጽ እይታ አካል አለ። በጥሩ ሁኔታ ተቆርጧል ስለዚህ በባህር ዳርቻ ላይ የማታዩት ነገር የለም፣ ነገር ግን አሁንም ችግር ሊፈጥር የሚችል ከሆነ፣ ወደ ታች አይሸብልሉ።

ሁልጊዜ የይለፍ ቃልዎን ዳግም ያስጀምሩ በጭራሽ አታስታውሰው

ተግባር እንዲፈጥሩ ተጠይቀህ ታውቃለህ አስታዋሾች የይለፍ ቃል? አንድ እርምጃ ወደኋላ ወስደህ ስለዚህ ጥያቄ በግልባጭ አስብ፡ ለምንድነው ይህ “ማስታወሻ” ለምን አስፈለገ? ተጠቃሚው የይለፍ ቃሉን ስለረሳው. በእርግጥ ምን ማድረግ እንፈልጋለን? እንደገና እንዲገባ እርዱት።

“ማስታወሻ” የሚለው ቃል ጥቅም ላይ የሚውለው (ብዙውን ጊዜ) በአነጋገር ዘይቤ እንደሆነ ተረድቻለሁ፣ ነገር ግን በእውነት ለማድረግ እየሞከርን ያለነው ነው። ተጠቃሚው እንደገና መስመር ላይ እንዲሆን ደህንነቱ በተጠበቀ ሁኔታ ያግዙት።. ደህንነት ስለምንፈልግ አስታዋሽ (ማለትም ለተጠቃሚው የይለፍ ቃሉን መላክ) ተገቢ ያልሆነበት ሁለት ምክንያቶች አሉ።

1. ኢሜል ደህንነቱ ያልተጠበቀ ቻናል ነው። በኤችቲቲፒ ላይ ሚስጥራዊነት ያለው ነገር እንደማንልክ ሁሉ (ኤችቲቲፒኤስን እንጠቀማለን)፣ የማጓጓዣው ንብርብር ደህንነቱ ያልተጠበቀ ስለሆነ በኢሜል መላክ የለብንም ። እንደ እውነቱ ከሆነ ይህ በቀላሉ መረጃን ደህንነቱ ባልተጠበቀ የትራንስፖርት ፕሮቶኮል ላይ ከመላክ በጣም የከፋ ነው ምክንያቱም ሜይል ብዙውን ጊዜ በማከማቻ መሣሪያ ላይ ስለሚከማች ለስርዓት አስተዳዳሪዎች ተደራሽ የሆነ፣ የሚተላለፍ እና የሚሰራጭ፣ ለማልዌር የሚደርስ ወዘተ. ያልተመሰጠረ ኢሜይል እጅግ በጣም አስተማማኝ ያልሆነ ቻናል ነው።
2. ለማንኛውም የይለፍ ቃሉ መዳረሻ ሊኖርህ አይገባም። በማከማቻው ላይ ያለፈውን ክፍል እንደገና ያንብቡ - የይለፍ ቃሉ ሃሽ (በጥሩ ጠንካራ ጨው) ሊኖርዎት ይገባል ፣ ማለትም በምንም መንገድ የይለፍ ቃሉን አውጥተው በፖስታ መላክ አይችሉም።

ችግሩን በምሳሌ ላሳይ usoutdoor.comየተለመደው የመግቢያ ገጽ ይኸውና:

በግልጽ ለማየት እንደሚቻለው የመጀመሪያው ችግር የመግቢያ ገጹ በ HTTPS ላይ አይጫንም, ነገር ግን ጣቢያው የይለፍ ቃል እንዲልኩ ይጠይቅዎታል ("የይለፍ ቃል ላክ"). ይህ ከላይ የተጠቀሰው ቃል የቃል አጠቃቀም ምሳሌ ሊሆን ይችላል፣ስለዚህ ወደ ፊት እንውሰደው እና የሚሆነውን እንመልከት፡-

በጣም የተሻለ አይመስልም, በሚያሳዝን ሁኔታ; እና ኢሜይል ችግር እንዳለ ያረጋግጣል፡-

ይህ የ usoutdoor.com ሁለት አስፈላጊ ገጽታዎችን ይነግረናል፡-

1. ጣቢያው የይለፍ ቃላትን አያጨናንቅም። ቢበዛ፣ የተመሰጠሩ ናቸው፣ ነገር ግን በጽሑፍ የተቀመጡ ሳይሆኑ አይቀርም። ተቃራኒ የሆነ ምንም ማስረጃ አናይም።
2. ጣቢያው ደህንነቱ ባልተጠበቀ ቻናል ላይ የረጅም ጊዜ የይለፍ ቃል (ወደ ኋላ ተመልሰን ደጋግመን ልንጠቀምበት እንችላለን) ይልካል።

ይህ ከመንገዱ ውጭ ከሆነ, ዳግም የማስጀመር ሂደቱ ደህንነቱ በተጠበቀ ሁኔታ መከናወኑን ማረጋገጥ አለብን. ይህንን ለማድረግ የመጀመሪያው እርምጃ ጠያቂው ዳግም ማስጀመርን የማካሄድ መብት እንዳለው ማረጋገጥ ነው. በሌላ አነጋገር ከዚህ በፊት የማንነት ማረጋገጫ ያስፈልገናል; መጀመሪያ ጠያቂው የመለያው ባለቤት መሆኑን ሳናረጋግጥ ማንነት ሲረጋገጥ ምን እንደሚፈጠር እንይ።

የተጠቃሚ ስሞችን መዘርዘር እና በስም መደበቅ ላይ ያለው ተጽእኖ

ይህ ችግር በተሻለ ሁኔታ በምስል ይገለጻል. ችግር፡

ታያለህ? "በዚህ ኢሜይል አድራሻ የተመዘገበ ተጠቃሚ የለም" ለሚለው መልእክት ትኩረት ይስጡ። እንዲህ ዓይነቱ ጣቢያ ካረጋገጠ ችግሩ በግልጽ ይነሳል ተገኝነት ተጠቃሚ እንደዚህ ባለ ኢሜይል አድራሻ ተመዝግቧል። ቢንጎ - የባልዎን/አለቃዎን/የጎረቤትዎን የወሲብ ፊልም አሁን አግኝተዋል!

እርግጥ ነው፣ ፖርኖ የግላዊነት አስፈላጊነት ትክክለኛ ምሳሌያዊ ምሳሌ ነው፣ ነገር ግን አንድን ግለሰብ ከአንድ የተወሰነ ድረ-ገጽ ጋር የማገናኘት አደጋ ከላይ ከተገለፀው አስጨናቂ ሁኔታ የበለጠ ሰፊ ነው። አንድ አደጋ ማህበራዊ ምህንድስና ነው; አጥቂው አንድን ሰው ከአገልግሎቱ ጋር ማዛመድ ከቻለ እሱን መጠቀም የሚጀምርበት መረጃ ይኖረዋል። ለምሳሌ፣ የድረ-ገጽ ተወካይ አድርጎ የሚያቀርበውን ሰው ማግኘት እና ለመፈጸም ሲሞክር ተጨማሪ መረጃ ሊጠይቅ ይችላል። ጦር ማስገር.

እንደነዚህ ያሉ ድርጊቶች የቡድን ጥያቄዎችን በማካሄድ እና ለእነሱ ምላሾችን በመመርመር በድረ-ገጹ ላይ ሙሉ የተጠቃሚ ስሞች ወይም የኢሜል አድራሻዎች መኖራቸውን ለማረጋገጥ "የተጠቃሚ ስም ዝርዝር" አደጋን ከፍ ያደርገዋል. የሁሉም ሰራተኞች ኢሜይል አድራሻዎች እና ስክሪፕት ለመጻፍ ጥቂት ደቂቃዎች አሉዎት? ከዚያ ችግሩ ምን እንደሆነ ታያለህ!

አማራጭ ምንድን ነው? በእውነቱ ፣ እሱ በጣም ቀላል ነው ፣ እና በሚያስደንቅ ሁኔታ ውስጥ ይተገበራል። Entropay:

እዚህ Entropay ስለ ኢሜል አድራሻ በስርአቱ ውስጥ ስለመኖሩ ምንም ነገር አይገልጽም። የዚህ አድራሻ ባለቤት ላልሆነ ሰው... አንተ የራሱ ይህ አድራሻ እና በሲስተሙ ውስጥ የለም ፣ ከዚያ እንደዚህ ያለ ኢሜይል ይደርስዎታል-

እርግጥ ነው, አንድ ሰው ተቀባይነት ያላቸው ሁኔታዎች ሊኖሩ ይችላሉ ብሎ ያስባልበድረ-ገጹ ላይ የተመዘገቡት. ግን ጉዳዩ ይህ አይደለም, ወይም ከሌላ የኢሜል አድራሻ ነው ያደረኩት. ከላይ የሚታየው ምሳሌ ሁለቱንም ሁኔታዎች በሚገባ ይቆጣጠራል. በግልጽ ለማየት እንደሚቻለው አድራሻው ከተዛመደ፣ የይለፍ ቃልዎን እንደገና ለማስጀመር ቀላል የሚያደርግ ኢሜይል ይደርስዎታል።

በEntropay የተመረጠው የመፍትሔው ረቂቅነት የመለየት ማረጋገጫ የሚከናወነው በዚህ መሠረት ነው። ኢ-ሜል ከማንኛውም የመስመር ላይ ማረጋገጫ በፊት. አንዳንድ ጣቢያዎች ለደህንነት ጥያቄ መልስ ተጠቃሚዎችን ይጠይቃሉ (ከዚህ በታች በዚህ ላይ ተጨማሪ) ወደ ዳግም ማስጀመር እንዴት እንደሚጀመር; ነገር ግን የዚህ ችግር ችግር የሆነ መታወቂያ (ኢሜል ወይም የተጠቃሚ ስም) እያቀረቡ ለጥያቄው መልስ መስጠት አለብዎት, ይህም ማንነቱ ያልታወቀ የተጠቃሚ መለያ መኖሩን ሳያሳውቅ በትክክል መመለስ የማይቻል ያደርገዋል.

በዚህ አቀራረብ አለ ትንሽ ተጠቃሚነት ቀንሷል ምክንያቱም የሌለ መለያን ዳግም ለማስጀመር ከሞከሩ ምንም ፈጣን ግብረመልስ የለም። በእርግጥ ኢሜል የመላክ ዋናው ነጥብ ያ ነው፣ ነገር ግን ከዋና ተጠቃሚ እይታ አንጻር፣ የተሳሳተ አድራሻ ካስገቡ፣ ለመጀመሪያ ጊዜ የሚያውቁት ኢሜል ሲደርሳቸው ብቻ ነው። ይህ በእሱ በኩል የተወሰነ ውጥረት ሊያስከትል ይችላል, ነገር ግን ይህ ለእንደዚህ ዓይነቱ ያልተለመደ ሂደት የሚከፈልበት ትንሽ ዋጋ ነው.

ሌላ ማስታወሻ፣ ከርዕስ ትንሽ ወጣ ያለ፡ የተጠቃሚ ስም ወይም የኢሜል አድራሻ ትክክል መሆኑን የሚያሳዩ የመግቢያ እርዳታ ተግባራት ተመሳሳይ ችግር አለባቸው። ሁልጊዜም ለተጠቃሚው የምስክር ወረቀቱን መኖር በግልፅ ከማረጋገጥ ይልቅ "የእርስዎ የተጠቃሚ ስም እና የይለፍ ቃል ጥምረት ልክ ያልሆነ ነው" የሚል መልዕክት ይመልሱ (ለምሳሌ "የተጠቃሚ ስም ትክክል ነው፣ ግን የይለፍ ቃሉ የተሳሳተ ነው")።

የዳግም ማስጀመሪያ ይለፍ ቃል በመላክ ላይ vs የዳግም ማስጀመሪያ URL በመላክ ላይ

ልንወያይበት የሚገባን ቀጣዩ ፅንሰ-ሀሳብ የይለፍ ቃልዎን እንዴት እንደገና ማስጀመር እንደሚቻል ነው። ሁለት ታዋቂ መፍትሄዎች አሉ-

1. በአገልጋዩ ላይ አዲስ የይለፍ ቃል መፍጠር እና በኢሜል መላክ
2. ዳግም የማስጀመር ሂደቱን ቀላል ለማድረግ በልዩ ዩአርኤል ኢሜይል ይላኩ።

ቢሆንም ብዙ መመሪያዎች, የመጀመሪያው ነጥብ በጭራሽ ጥቅም ላይ መዋል የለበትም. የዚህ ችግር አለ ማለት ነው። የተከማቸ የይለፍ ቃልበማንኛውም ጊዜ ወደ መመለስ እና እንደገና መጠቀም የሚችሉት; ደህንነቱ ባልተጠበቀ ቻናል ተልኳል እና በገቢ መልእክት ሳጥንዎ ውስጥ እንዳለ ይቆያል። የገቢ መልእክት ሳጥኖች በሞባይል መሳሪያዎች እና በኢሜል ደንበኛ ላይ የተመሳሰሉ የመሆን እድሎች ናቸው፣ በተጨማሪም በመስመር ላይ በድር ኢሜይል አገልግሎት ውስጥ ለረጅም ጊዜ ሊቀመጡ ይችላሉ። ቁም ነገሩ የሚለው ነው። የመልእክት ሳጥን እንደ አስተማማኝ የረጅም ጊዜ ማከማቻ ዘዴ ተደርጎ ሊወሰድ አይችልም።.

ግን ከዚህ በተጨማሪ, የመጀመሪያው ነጥብ ሌላ ከባድ ችግር አለው - እሱ በተቻለ መጠን ቀላል ያደርገዋል በተንኮል አዘል ዓላማ መለያን ማገድ። በድር ጣቢያ ላይ መለያ ያለው ሰው የኢሜል አድራሻን ካወቅኩ በቀላሉ የይለፍ ቃሉን እንደገና በማቀናበር በማንኛውም ጊዜ ማገድ እችላለሁ; ይህ በብር ሳህን ላይ የሚቀርበውን የአገልግሎት ጥቃት መካድ ነው! ለዚህ ነው ዳግም ማስጀመር የጠያቂውን መብት በተሳካ ሁኔታ ካረጋገጠ በኋላ ብቻ መከናወን ያለበት።

ስለ ዳግም ማስጀመሪያ ዩአርኤል ስንናገር የድረ-ገጽ አድራሻ ማለት ነው። ለዚህ ልዩ ሁኔታ ዳግም ማስጀመር ሂደት ልዩ. እርግጥ ነው፣ በዘፈቀደ መሆን አለበት፣ ለመገመት ቀላል መሆን የለበትም፣ እና ወደ መለያው ዳግም ለማስጀመር የሚያመች ምንም አይነት ውጫዊ አገናኞችን መያዝ የለበትም። ለምሳሌ፣ ዳግም ማስጀመሪያው ዩአርኤል በቀላሉ እንደ "Reset/?username=Johnsmith" ዱካ መሆን የለበትም።

እንደ ዳግም ማስጀመሪያ ዩአርኤል በፖስታ መላክ እና ከዚያ ከተጠቃሚው መለያ የአገልጋይ መዝገብ ጋር የሚዛመድ ልዩ ማስመሰያ መፍጠር እንፈልጋለን። ለምሳሌ፣ ማስመሰያ "3ce7854015cd38c862cb9e14a1ae552b" ሊሆን ይችላል እና ዳግም ማስጀመሪያውን የሚያከናውን የተጠቃሚ መታወቂያ እና ማስመሰያው የተፈጠረበት ጊዜ (ከዚህ በታች ተጨማሪ) ጋር በሰንጠረዥ ውስጥ ሊከማች ይችላል። ኢሜይሉ ሲላክ እንደ “Reset/?id=3ce7854015cd38c862cb9e14a1ae552b” አይነት ዩአርኤል ይይዛል እና ተጠቃሚው ሲያወርድ ገፁ የቶከን መኖሩን ይጠይቃል ከዛ በኋላ የተጠቃሚውን መረጃ ያረጋግጣል እና እንዲቀይሩ ያስችላቸዋል። የይለፍ ቃል.

እርግጥ ነው፣ ከላይ ያለው ሂደት (ተስፋ እናደርጋለን) ተጠቃሚው አዲስ የይለፍ ቃል እንዲፈጥር ስለሚያስችለው፣ URL በ HTTPS ላይ መጫኑን ማረጋገጥ አለብን። አይ, በ HTTPS በPOST ጥያቄ መላክ በቂ አይደለም።አዲሱ የይለፍ ቃል ጥቃት እንዳይደርስበት ይህ ማስመሰያ URL የትራንስፖርት ንብርብር ደህንነትን መጠቀም አለበት። MITM እና በተጠቃሚ የተፈጠረ የይለፍ ቃል ደህንነቱ በተጠበቀ ግንኙነት ተላልፏል።

እንዲሁም ለዳግም ማስጀመሪያ ዩአርኤል የዳግም ማስጀመሪያው ሂደት በተወሰነ ጊዜ ውስጥ እንዲጠናቀቅ የማስመሰያ የጊዜ ገደብ ማከል አለብህ፣ በአንድ ሰአት ውስጥ ይናገሩ። ይህ የዳግም ማስጀመሪያ መስኮቱ በትንሹ መያዙን ያረጋግጣል ስለዚህ የዳግም ማስጀመሪያ ዩአርኤል ተቀባይ በዛች ትንሽ መስኮት ውስጥ ብቻ መስራት ይችላል። በእርግጥ አጥቂው የዳግም ማስጀመሪያ ሂደቱን እንደገና ሊጀምር ይችላል፣ነገር ግን ሌላ ልዩ ዳግም ማስጀመር ዩአርኤል ማግኘት አለባቸው።

በመጨረሻም, ይህ ሂደት ሊወገድ የሚችል መሆኑን ማረጋገጥ አለብን. አንዴ ዳግም የማስጀመር ሂደቱ ከተጠናቀቀ በኋላ፣ ዳግም ማስጀመሪያው ዩአርኤል እንዳይሰራ ማስመሰያው መወገድ አለበት። ቀዳሚው ነጥብ አጥቂው የዳግም ማስጀመሪያውን ዩአርኤል ማቀናበር የሚችልበት በጣም ትንሽ መስኮት እንዳለው ለማረጋገጥ አስፈላጊ ነው። በተጨማሪም፣ በእርግጥ፣ አንዴ ዳግም ማስጀመር ከተሳካ፣ ማስመሰያው ከአሁን በኋላ አያስፈልግም።

ከእነዚህ እርምጃዎች መካከል አንዳንዶቹ ከመጠን በላይ የተደጋገሙ ሊመስሉ ይችላሉ፣ ነገር ግን በአጠቃቀም እና አጠቃቀም ላይ ጣልቃ አይገቡም። በእርግጥ አልፎ አልፎ ይሆናል ብለን በምናስባቸው ሁኔታዎች ውስጥ ቢሆንም ደህንነትን ማሻሻል። በ 99% ከሚሆኑት ጉዳዮች ተጠቃሚው በአጭር ጊዜ ውስጥ ዳግም ማስጀመርን ያነቃዋል እና በቅርብ ጊዜ ውስጥ የይለፍ ቃሉን ዳግም አያስጀምርም።

የ CAPTCHA ሚና

ኦህ፣ CAPTCHA፣ ሁላችንም ልንጠላው የምንወደው የደህንነት ባህሪ! እንደ እውነቱ ከሆነ CAPTCHA የመታወቂያ መሳሪያ እንደመሆኑ መጠን የመከላከያ መሳሪያ አይደለም - ሰውም ሆነ ሮቦት (ወይም አውቶሜትድ ስክሪፕት)። ዓላማው አውቶማቲክ ቅፅ ማስረከብን ለማስወገድ ነው ፣ እሱም በእርግጥ ፣ ይችላል ደህንነትን ለመስበር እንደ ሙከራ ይጠቀሙ። በይለፍ ቃል ዳግም ማስጀመሪያ አውድ ውስጥ፣ CAPTCHA ማለት የመልሶ ማስጀመሪያ ተግባር ተጠቃሚውን አይፈለጌ መልዕክት ለማድረግ ወይም የመለያዎችን መኖር ለመወሰን መሞከር አይቻልም (በእርግጥ በክፍል ውስጥ የተሰጠውን ምክር ከተከተሉ የማይቻል ነው)። ማንነትን ማረጋገጥ)።

እርግጥ ነው, CAPTCHA ራሱ ፍጹም አይደለም; ለሶፍትዌሩ "ጠለፋ" እና በቂ የስኬት ደረጃዎችን (60-70%) ለማግኘት ብዙ ቅድመ ሁኔታዎች አሉ። በተጨማሪም፣ ስለ ጽሑፌ የሚታየው መፍትሔ አለ። CAPTCHA በራስ ሰር ሰዎች መጥለፍእያንዳንዱን CAPTCHA ለመፍታት እና የ 94% የስኬት ደረጃን ለማግኘት ለሰዎች የአንድ ሳንቲም ክፍልፋዮች መክፈል የሚችሉበት። ያም ማለት ለጥቃት የተጋለጠ ነው, ነገር ግን (ትንሽ) ወደ ውስጥ ለመግባት እንቅፋት ይፈጥራል.

የፔይፓል ምሳሌን እንመልከት፡-

በዚህ አጋጣሚ፣ CAPTCHA እስካልተፈታ ድረስ ዳግም የማስጀመር ሂደቱ በቀላሉ ሊጀመር አይችልም። በንድፈ ሀሳብ ሂደቱን በራስ-ሰር ማድረግ አይቻልም. በንድፈ ሀሳብ።

ነገር ግን፣ ለአብዛኛዎቹ የድር መተግበሪያዎች ይህ ከልክ ያለፈ እና ከባድ ይሆናል። ፍጹም ትክክል የአጠቃቀም መቀነስን ይወክላል - ሰዎች CAPTCHAን አይወዱም! በተጨማሪም, CAPTCHA አስፈላጊ ከሆነ በቀላሉ መመለስ የሚችሉት ነገር ነው. አገልግሎቱ ጥቃት መሰንዘር ከጀመረ (መመዝገብ ጠቃሚ የሚሆነው እዚህ ላይ ነው፣ ነገር ግን በኋላ ላይ ተጨማሪ)፣ ከዚያ CAPTCHA ማከል ቀላል ሊሆን አይችልም።

ሚስጥራዊ ጥያቄዎች እና መልሶች

ባየናቸው ሁሉም ዘዴዎች የኢሜል መለያውን በመዳረስ ብቻ የይለፍ ቃሉን እንደገና ማስጀመር ችለናል። “ልክ” እላለሁ፣ ግን፣ በእርግጥ፣ የሌላ ሰው ኢሜይል መለያ ማግኘት ሕገወጥ ነው። ቢቻል ውስብስብ ሂደት መሆን. ቢሆንም ሁልጊዜ እንደዚያ አይደለም.

በእርግጥ ከላይ ያለው ሊንክ የሳራ ፓሊን ያሁ! ለሁለት ዓላማዎች ያገለግላል; በመጀመሪያ፣ የኢሜል አካውንቶችን ለመጥለፍ (አንዳንድ) ምን ያህል ቀላል እንደሆነ ያሳያል፣ ሁለተኛም፣ መጥፎ የደህንነት ጥያቄዎችን ከተንኮል አዘል ዓላማ ጋር እንዴት መጠቀም እንደሚቻል ያሳያል። ግን ወደዚህ ጉዳይ በኋላ እንመለስበታለን።

XNUMX% በኢሜል ላይ የተመሰረተ የይለፍ ቃል ዳግም ማስጀመር ችግሩ እርስዎ ዳግም ለማስጀመር እየሞከሩት ያለው ጣቢያ የመለያው ትክክለኛነት XNUMX% በኢሜል መለያው ትክክለኛነት ላይ የተመሰረተ ነው. ወደ ኢሜልዎ መዳረሻ ያለው ማንኛውም ሰው በቀላሉ ኢሜል በመቀበል ወደነበረበት መመለስ የሚችል ማንኛውንም መለያ መዳረሻ አለው።. ለእንደዚህ አይነት መለያዎች ኢሜል የመስመር ላይ ህይወትዎ "የሁሉም በሮች ቁልፍ" ነው።

ይህንን አደጋ ለመቀነስ አንዱ መንገድ የደህንነት ጥያቄ እና መልስ ጥለትን መተግበር ነው። አስቀድመው እንዳየሃቸው ምንም ጥርጥር የለውም፡ አንተ ብቻ መልስ የምትሰጠውን ጥያቄ ምረጥ ቢቻል መልሱን እወቅ እና ከዚያ የይለፍ ቃልህን ስታስተካክል ትጠየቅበታለህ። ይህ ዳግም ማስጀመር የሚሞክር ሰው የመለያው ባለቤት እንደሆነ በራስ መተማመንን ይጨምራል።

ወደ ሳራ ፓሊን ተመለስ፡ ስህተቱ ለደህንነት ጥያቄዋ/ጥያቄዎቿ መልሶች በቀላሉ ማግኘት መቻላቸው ነበር። በተለይ እርስዎ በጣም ጉልህ የሆነ የአደባባይ ሰው ሲሆኑ፣ ስለ እናትዎ የመጀመሪያ ስም፣ የትምህርት ታሪክ፣ ወይም አንድ ሰው ከዚህ በፊት ይኖር የነበረበት ቦታ መረጃ ይህ ሁሉ ሚስጥር አይደለም። እንደ እውነቱ ከሆነ, አብዛኛው ሰው በማንኛውም ሰው ሊገኝ ይችላል. በሳራ ላይ የሆነው ይህ ነው፡-

ጠላፊ ዴቪድ ከርኔል ስለ አስተዳደሯ ዝርዝር መረጃ እንደ ዩኒቨርሲቲዋ እና የተወለደችበት ቀን እንዲሁም ያሁ የተረሳ የይለፍ ቃል ማግኛ ባህሪን በመጠቀም የፓሊንን አካውንት ማግኘት ቻለ።

በመጀመሪያ ደረጃ, ይህ በ Yahoo! - እንደነዚህ ያሉ ቀላል ጥያቄዎችን በመግለጽ ኩባንያው የደህንነት ጥያቄን ዋጋ በማበላሸት እና የስርዓቱን ጥበቃ. በእርግጥ ለኢሜል አካውንት የይለፍ ቃሎችን እንደገና ማቀናበር ሁል ጊዜ ከባድ ነው ምክንያቱም ለባለቤቱ ኢሜል በመላክ ባለቤትነትን ማረጋገጥ ስለማይችሉ (ሁለተኛ አድራሻ ሳይኖርዎት) ፣ ግን እንደ እድል ሆኖ ዛሬ እንደዚህ አይነት ስርዓት ለመፍጠር ብዙ ጥቅሞች የሉም።

ወደ የደህንነት ጥያቄዎች እንመለስ - ተጠቃሚው የራሱን ጥያቄዎች እንዲፈጥር የመፍቀድ አማራጭ አለ። ችግሩ ይህ በጣም ግልጽ የሆኑ ጥያቄዎችን ያስከትላል.

ሰማዩ ምን አይነት ቀለም ነው?

የደህንነት ጥያቄን ለመለየት ጥቅም ላይ በሚውልበት ጊዜ ሰዎችን የማይመቹ የሚያደርጉ ጥያቄዎች ግለሰብ (ለምሳሌ በጥሪ ማእከል)

ገና በገና ከማን ጋር ተኛሁ?

ወይም በግልጽ ደደብ ጥያቄዎች፡-

"የይለፍ ቃል" እንዴት ይፃፉ?

የደህንነት ጥያቄዎችን በተመለከተ ተጠቃሚዎች ከራሳቸው መዳን አለባቸው! በሌላ አነጋገር, የደህንነት ጥያቄ በጣቢያው በራሱ መወሰን አለበት, ወይም በተሻለ ሁኔታ, ይጠየቃል ተከታታይ ተጠቃሚው የሚመርጥባቸው የደህንነት ጥያቄዎች። እና ለመምረጥ ቀላል አይደለም один; በሐሳብ ደረጃ ተጠቃሚው ሁለት ወይም ከዚያ በላይ የደህንነት ጥያቄዎችን መምረጥ አለበት። በሂሳብ ምዝገባ ጊዜ, እሱም እንደ ሁለተኛ የመታወቂያ ቻናል ጥቅም ላይ ይውላል. ብዙ ጥያቄዎች መኖራቸው በማረጋገጫው ሂደት ላይ እምነትን ይጨምራል፣ እና በዘፈቀደ የመጨመር ችሎታን ይሰጣል (ሁልጊዜ ተመሳሳይ ጥያቄን አያሳይም) ፣ በተጨማሪም ተጠቃሚው የይለፍ ቃሉን የረሳ ከሆነ ትንሽ ድግግሞሽ ይሰጣል።

ጥሩ የደህንነት ጥያቄ ምንድነው? ይህ በብዙ ምክንያቶች ተጽዕኖ ይደረግበታል-

1. መሆን አለበት አጭር - ጥያቄው ግልጽ እና የማያሻማ መሆን አለበት.
2. መልሱ መሆን አለበት። የተወሰነ - አንድ ሰው በተለየ መንገድ ሊመልስ የሚችል ጥያቄ አያስፈልገንም
3. ሊሆኑ የሚችሉ መልሶች መሆን አለባቸው የተለያዩ - የአንድን ሰው ተወዳጅ ቀለም መጠየቅ በጣም ትንሽ የሆኑ መልሶች ይሰጣል
4. Поиск መልሱ ውስብስብ መሆን አለበት - መልሱ በቀላሉ ሊገኝ የሚችል ከሆነ ማንኛውም (በከፍተኛ ቦታዎች ላይ ያሉትን ሰዎች አስታውስ), ከዚያም እሱ መጥፎ ነው
5. መልሱ መሆን አለበት። ዘላቂ በጊዜ - የአንድን ሰው ተወዳጅ ፊልም ከጠየቁ ከአንድ አመት በኋላ መልሱ የተለየ ሊሆን ይችላል

እንደተከሰተ፣ ጥሩ ጥያቄዎችን ለመጠየቅ የተዘጋጀ ድህረ ገጽ አለ። GoodSecurityQuestions.com. አንዳንድ ጥያቄዎች በጣም ጥሩ ይመስላሉ, ሌሎች ከላይ የተገለጹትን አንዳንድ ፈተናዎች አያልፉም, በተለይም "የፍለጋ ቀላል" ፈተና.

ፔይፓል የደህንነት ጥያቄዎችን እና በተለይም ጣቢያው ለማረጋገጥ የሚያደርገውን ጥረት እንዴት እንደሚተገበር አሳየኝ። ሂደቱን ለመጀመር ገጹን ከላይ አይተናል (በ CAPTCHA) እና እዚህ የኢሜል አድራሻዎን ካስገቡ እና CAPTCHA ከፈቱ በኋላ ምን እንደሚፈጠር እናሳያለን፡

በዚህ ምክንያት ተጠቃሚው የሚከተለውን ደብዳቤ ይቀበላል-

እስካሁን ድረስ ሁሉም ነገር የተለመደ ነው፣ ግን ከዚህ ዳግም ማስጀመሪያ ዩአርኤል በስተጀርባ የተደበቀው ይኸውና፡

ስለዚህ, የደህንነት ጥያቄዎች ወደ ጨዋታ ይመጣሉ. በእርግጥ ፔይፓል የክሬዲት ካርድ ቁጥርዎን በማረጋገጥ የይለፍ ቃልዎን እንደገና እንዲያስቀምጡ ይፈቅድልዎታል ስለዚህ ብዙ ድረ-ገጾች የማይገቡበት ተጨማሪ ቻናል አለ። ሳልመልስ የይለፍ ቃሌን መቀየር አልችልም። ሁለቱንም የደህንነት ጥያቄ (ወይም የካርድ ቁጥሩን አለማወቅ). የሆነ ሰው ኢሜይሌን ቢጠለፍም ስለ እኔ ትንሽ ተጨማሪ የግል መረጃ እስካላወቀ ድረስ የእኔን የPayPal መለያ የይለፍ ቃል ዳግም ማስጀመር አይችሉም ነበር። ምን መረጃ? PayPal የሚያቀርባቸው የደህንነት ጥያቄ አማራጮች እነኚሁና፡

የትምህርት ቤቱ እና የሆስፒታሉ ጥያቄ ከፍለጋ ቀላልነት አንፃር ትንሽ ፋይዳ ሊኖረው ይችላል፣ሌሎቹ ግን በጣም መጥፎ አይደሉም። ነገር ግን ደህንነትን ለማሻሻል PayPal ተጨማሪ መታወቂያ ያስፈልገዋል ለውጥ ለደህንነት ጥያቄዎች መልሶች፡-

ፔይፓል ደህንነቱ የተጠበቀ የይለፍ ቃል ዳግም ማስጀመሪያ ምሳሌ ነው፡ የጭካኔ ጥቃቶችን አደጋ ለመቀነስ CAPTCHAን ይተገብራል፣ ሁለት የደህንነት ጥያቄዎችን ይፈልጋል፣ እና ከዚያ መልሱን ለመቀየር ሌላ ሙሉ ለሙሉ የተለየ መታወቂያ ይፈልጋል - እና ይሄ ከተጠቃሚው በኋላ። አስቀድሞ ገብቷል። እርግጥ ነው, እኛ በትክክል ይሄው ነው የሚጠበቀው ከ PayPal; ብዙ ገንዘብ የሚይዝ የፋይናንስ ተቋም ነው። ይህ ማለት እያንዳንዱ የይለፍ ቃል ዳግም ማስጀመር እነዚህን ቅደም ተከተሎች መከተል አለበት ማለት አይደለም - ብዙ ጊዜ ከልክ ያለፈ ነው - ነገር ግን ደህንነት ከባድ የንግድ ሥራ ለሆኑ ጉዳዮች ጥሩ ምሳሌ ነው።

የደህንነት ጥያቄ ስርዓቱ ምቾት ወዲያውኑ ተግባራዊ ካላደረጉት, የንብረት ጥበቃ ደረጃ የሚፈልገው ከሆነ በኋላ ላይ ማከል ይችላሉ. ለዚህ ጥሩ ምሳሌ የሚሆነው ይህን ዘዴ በቅርቡ ተግባራዊ ያደረገው አፕል ነው። [በ2012 የተጻፈ ጽሑፍ]. አንዴ አፕሊኬሽኑን በ iPadዬ ላይ ማዘመን ከጀመርኩ በኋላ የሚከተለውን ጥያቄ አየሁ፡

ከዚያም በርካታ ጥንድ የደህንነት ጥያቄዎችን እና መልሶችን እንዲሁም የማዳኛ ኢሜይል አድራሻ የምመርጥበት ስክሪን አየሁ፡-

ስለ PayPal፣ ጥያቄዎቹ አስቀድመው ተመርጠዋል እና አንዳንዶቹ በእውነቱ በጣም ጥሩ ናቸው፡

እያንዳንዳቸው የሶስቱ የጥያቄ/መልስ ጥንዶች የተለያዩ ሊሆኑ የሚችሉ ጥያቄዎችን ይወክላሉ፣ ስለዚህ መለያን ለማዋቀር ብዙ መንገዶች አሉ።

የደህንነት ጥያቄዎን በተመለከተ ሊታሰብበት የሚገባው ሌላው ገጽታ ማከማቻ ነው። በመረጃ ቋቱ ውስጥ ግልጽ የሆነ የጽሑፍ ዳታቤዝ መኖሩ ከይለፍ ቃል ጋር ተመሳሳይ አደጋዎችን ይፈጥራል፣ይህም የመረጃ ቋቱን ማጋለጥ ወዲያውኑ ዋጋውን ያሳያል እና አፕሊኬሽኑን ለአደጋ የሚያጋልጥ ብቻ ሳይሆን ተመሳሳይ የደህንነት ጥያቄዎችን በመጠቀም ሙሉ ለሙሉ የተለያዩ አፕሊኬሽኖች (እንደገና አለ) acai berry ጥያቄ). አንዱ አማራጭ ደህንነቱ የተጠበቀ ሃሺንግ (ጠንካራ አልጎሪዝም እና ክሪፕቶግራፊያዊ የዘፈቀደ ጨው) ነው፣ ነገር ግን ከብዙ የይለፍ ቃል ማከማቻ ጉዳዮች በተለየ፣ ምላሹ እንደ ግልጽ ጽሑፍ የሚታይበት ጥሩ ምክንያት ሊኖር ይችላል። የተለመደው ሁኔታ በቀጥታ የስልክ ኦፕሬተር የማንነት ማረጋገጫ ነው። በእርግጥ በዚህ ጉዳይ ላይ ሃሺንግ እንዲሁ ተግባራዊ ይሆናል (ኦፕሬተሩ በቀላሉ በደንበኛው የተሰየመውን ምላሽ ማስገባት ይችላል) ፣ ግን በጣም በከፋ ሁኔታ ፣ ሚስጥራዊ ምላሹ በተወሰነ ደረጃ ምስጠራ ማከማቻ ላይ መቀመጥ አለበት ፣ ምንም እንኳን የተመጣጠነ ምስጠራ ብቻ ቢሆንም። . ማጠቃለል፡- ሚስጥሮችን እንደ ሚስጥሮች ይያዙ!

የደህንነት ጥያቄዎች እና መልሶች የመጨረሻ ገጽታ ለማህበራዊ ምህንድስና የበለጠ ተጋላጭ መሆናቸው ነው። የይለፍ ቃሉን በቀጥታ ወደ ሌላ ሰው መለያ ለማውጣት መሞከር አንድ ነገር ነው፣ ነገር ግን ስለ ምስረታው (ታዋቂ የደህንነት ጥያቄ) ውይይት መጀመር ፍጹም የተለየ ነው። እንዲያውም፣ ጥርጣሬን ሳያስነሳ ሚስጥራዊ ጥያቄ ሊፈጥሩ ስለሚችሉ ስለ ብዙ የሕይወታቸው ገጽታዎች ከአንድ ሰው ጋር በደንብ መገናኘት ይችላሉ። በእርግጥ የደህንነት ጥያቄ ዋናው ነጥብ ከአንድ ሰው የሕይወት ተሞክሮ ጋር የተያያዘ ነው, ስለዚህ የማይረሳ ነው, እና ችግሩ ያለው እዚያ ነው - ሰዎች ስለ ህይወት ልምዳቸው ማውራት ይወዳሉ! በዚህ ጉዳይ ላይ ማድረግ የሚችሉት ትንሽ ነገር የለም, እንደዚህ ያሉ የደህንነት ጥያቄዎች አማራጮችን ከመረጡ ብቻ ነው ያነሰ ምናልባት በማህበራዊ ምህንድስና ሊወጣ ይችላል.

[ይቀጥላል.]

በቅጂ መብቶች ላይ

ቪዲሲና አስተማማኝ ያቀርባል ዕለታዊ ክፍያ ጋር አገልጋዮች, እያንዳንዱ አገልጋይ ከ 500 Megabits የበይነመረብ ቻናል ጋር የተገናኘ እና ከ DDoS ጥቃቶች የተጠበቀ ነው!

ምንጭ: hab.com