Dènyèman, mwen te gen tan reflechi ankò sou ki jan yon karakteristik reset modpas sekirite ta dwe travay, premye lè mwen t ap konstwi fonksyonalite sa a nan. , ak Lè sa a, lè li te ede yon lòt moun fè yon bagay ki sanble. Nan dezyèm ka a, mwen te vle ba l 'yon lyen nan yon resous kanonik ak tout detay yo sou kòman yo san danje aplike fonksyon an reset. Sepandan, pwoblèm nan se ke yon resous konsa pa egziste, omwen pa youn ki dekri tout sa ki sanble enpòtan pou mwen. Se konsa, mwen deside ekri li tèt mwen.
Ou wè, mond lan nan modpas bliye se aktyèlman byen yon sèl misterye. Gen anpil diferan, konplètman akseptab pwen de vi ak anpil byen danjere. Gen chans pou ou te rankontre chak nan yo anpil fwa kòm yon itilizatè fen; Se konsa, mwen pral eseye sèvi ak egzanp sa yo montre ki moun ki ap fè li byen, ki moun ki pa, ak ki sa ou bezwen konsantre sou yo jwenn karakteristik nan dwa nan app ou a.
Depo modpas: hashing, chifreman ak (gasp!) tèks klè
Nou pa ka diskite sou sa pou nou fè ak modpas bliye anvan nou diskite sou fason pou estoke yo. Modpas yo estoke nan baz done a nan youn nan twa kalite prensipal:
- Tèks senp. Gen yon kolòn modpas, ki estoke nan fòm tèks klè.
- Ankode. Tipikman lè l sèvi avèk simetrik chifreman (yo se yon sèl kle yo itilize pou tou de chifreman ak dechifre), ak modpas yo chiffres yo tou estoke nan menm kolòn nan.
- Hashed. Pwosesis yon sèl-fason (mopas yo ka hache, men yo pa ka dehashed); modpas, Mwen ta renmen espere, ki te swiv pa yon sèl, epi chak youn nan pwòp kolòn pa yo.
Ann ale tou dwat nan kesyon ki pi senp la: Pa janm estoke modpas yo nan tèks klè! Pa janm. Yon sèl vilnerabilite a , yon sèl backup neglijans, oswa youn nan plizyè douzèn lòt erè senp - e se li, gameover, tout modpas ou - se sa ki, padon, modpas tout kliyan ou yo pral vin domèn piblik. Natirèlman, sa a ta vle di yon gwo chans pou sa soti nan tout kont yo nan lòt sistèm yo. Epi li pral fòt ou.
Chidere se pi bon, men li gen feblès li yo. Pwoblèm nan ak chifreman se dechifre; nou ka pran chif sa yo fou kap epi konvèti yo tounen nan tèks klè, epi lè sa rive nou ap tounen nan sitiyasyon an modpas moun-lizib. Ki jan sa rive? Yon ti defo antre nan kòd la ki dekripte modpas la, fè li disponib piblikman - sa a se yon fason. Hackers jwenn aksè nan machin nan sou ki done chiffres ki estoke - sa a se dezyèm metòd la. Yon lòt fason, ankò, se vòlè backup la baz done ak yon moun tou vin kle a chifreman, ki se souvan trè ensekirite ki estoke.
Lè sa a mennen nou nan hachage. Lide a dèyè hachaj se ke li se yon sèl-fason; sèl fason pou konpare modpas itilizatè a ak vèsyon hache li yo se hache opinyon an epi konpare yo. Pou anpeche atak soti nan zouti tankou tab lakansyèl, nou sale pwosesis la ak owaza (li mwen sou depo kriptografik). Finalman, si aplike kòrèkteman, nou ka gen konfyans ke modpas hashed p'ap janm tounen tèks klè ankò (mwen pral pale sou benefis ki genyen nan diferan algoritm hashing nan yon lòt pòs).
Yon agiman rapid sou hachage vs chifreman: sèl rezon ou ta janm bezwen ankripte olye ke hache yon modpas se lè ou bezwen wè modpas la nan tèks klè, ak ou pa ta dwe janm vle sa a, omwen nan yon sitiyasyon sit entènèt estanda. Si ou bezwen sa a, lè sa a gen plis chans ou ap fè yon bagay ki mal!
Attention!
Anba a nan tèks la nan pòs la gen yon pati nan yon Ekran nan sit entènèt pònografik AlotPorn. Li byen taye konsa pa gen anyen ou pa ka wè sou plaj la, men si li toujou gen anpil chans lakòz nenpòt pwoblèm, pa woule desann.
Toujou reset modpas ou pa janm pa raple l
Èske w te janm mande pou kreye yon fonksyon rapèl modpas? Fè yon etap tounen epi reflechi sou demann sa a nan do: poukisa "rapèl" sa a nesesè? Paske itilizatè a bliye modpas la. Kisa nou vle fè vre? Ede l konekte ankò.
Mwen reyalize mo "rapèl" yo itilize (souvan) nan yon sans pale, men sa nou vrèman ap eseye fè se san danje ede itilizatè a yo dwe sou entènèt ankò. Piske nou bezwen sekirite, gen de rezon ki fè yon rapèl (sa vle di voye itilizatè a modpas yo) pa apwopriye:
- Imèl se yon kanal ensekirite. Menm jan nou pa ta voye anyen sansib sou HTTP (nou ta itilize HTTPS), nou pa ta dwe voye anyen sansib sou imel paske kouch transpò li an ensekirite. An reyalite, sa a pi mal pase tou senpleman voye enfòmasyon sou yon pwotokòl transpò ensekirite, paske lapòs yo souvan estoke sou yon aparèy depo, aksesib a administratè sistèm, voye ak distribye, aksesib a malveyan, ak sou sa. Imèl ki pa kode se yon chanèl trè ansekirite.
- Ou pa ta dwe gen aksè a modpas la de tout fason. Re-li seksyon anvan an sou depo - ou ta dwe gen yon hash nan modpas la (ak yon bon sèl fò), sa vle di ou pa ta dwe kapab nan okenn fason ekstrè modpas la epi voye li pa lapòs.
Kite m montre pwoblèm nan ak yon egzanp : Isit la se yon paj login tipik:
Li evidan, premye pwoblèm nan se ke paj la konekte pa chaje sou HTTPS, men sit la tou mande w voye yon modpas ("Voye modpas"). Sa a ka yon egzanp itilizasyon pale nan tèm mansyone anwo a, kidonk ann pran li yon etap pi lwen epi wè sa k ap pase:
Li pa sanble pi bon, malerezman; epi yon imèl konfime gen yon pwoblèm:
Sa a di nou de aspè enpòtan nan usoutdoor.com:
- Sit la pa hache modpas. Nan pi bon, yo chiffres, men li posib ke yo estoke nan tèks klè; Nou pa wè okenn prèv kontrè.
- Sit la voye yon modpas alontèm (nou ka tounen epi sèvi ak li ankò e ankò) sou yon chanèl ki pa an sekirite.
Avèk sa a soti nan wout la, nou bezwen tcheke si pwosesis la reset fè nan yon fason ki an sekirite. Premye etap la pou fè sa se asire w ke moun ki fè demann lan gen dwa fè reset la. Nan lòt mo, anvan sa a nou bezwen yon chèk idantite; ann gade nan sa k ap pase lè yo verifye idantite yo san yo pa premye verifye ke moun ki fè demann lan se aktyèlman pwopriyetè kont la.
Lis non itilizatè yo ak enpak li sou anonimite
Pwoblèm sa a pi byen ilistre vizyèlman. Pwoblèm:
ou wè? Peye atansyon sou mesaj la "Pa gen okenn itilizatè ki anrejistre ak adrès imel sa a." Pwoblèm nan evidamman rive si tankou yon sit konfime disponiblite itilizatè ki anrejistre ak adrès imel sa yo. Bingo - ou jis dekouvri fetich pònografi mari ou / bòs / vwazen an!
Natirèlman, pònografi se yon egzanp jistis iconik sou enpòtans ki genyen nan vi prive, men danje ki genyen nan asosye yon moun ak yon sit entènèt espesifik yo pi laj pase sitiyasyon an potansyèlman gòch ki dekri pi wo a. Youn nan danje se jeni sosyal; Si atakè a ka matche ak yon moun ak sèvis la, Lè sa a, li pral gen enfòmasyon ke li ka kòmanse itilize. Pou egzanp, li ka kontakte yon moun ki poze kòm yon reprezantan nan yon sit entènèt epi mande plis enfòmasyon nan yon tantativ komèt .
Pratik sa yo tou ogmante danje a nan "enimerasyon non itilizatè," kote yon moun ka verifye egzistans la nan yon koleksyon antye nan non itilizatè oswa adrès imel sou yon sit entènèt lè li senpleman fè rechèch gwoup epi egzamine repons yo. Èske w gen yon lis adrès imel tout anplwaye yo ak kèk minit pou ekri yon script? Lè sa a, ou wè ki pwoblèm nan!
Ki sa ki altènatif la? An reyalite, li se byen senp, epi li se bèl bagay aplike nan :
Isit la Entropay divilge absoliman anyen sou egzistans la nan yon adrès imel nan sistèm li yo bay yon moun ki pa posede adrès sa a... Si ou pwòp adrès sa a epi li pa egziste nan sistèm nan, Lè sa a, w ap resevwa yon imèl tankou sa a:
Natirèlman, ka gen sitiyasyon akseptab kote yon moun panseke ou te anrejistre sou sit entènèt la. men sa a se pa ka a, oswa mwen te fè li nan yon adrès imel diferan. Egzanp yo montre pi wo a jere tou de sitiyasyon yo byen. Li evidan, si adrès la matche, w ap resevwa yon imèl ki fè li pi fasil pou reset modpas ou.
sibtilite nan solisyon an chwazi pa Entropay se ke verifikasyon idantifikasyon fèt dapre e-mail anvan nenpòt verifikasyon sou entènèt. Gen kèk sit ki mande itilizatè yo repons pou yon kesyon sekirite (plis sou sa anba a) до ki jan reset la ka kòmanse; sepandan, pwoblèm nan ak sa a se ke ou dwe reponn kesyon an pandan w ap bay kèk fòm idantifikasyon (imel oswa non itilizatè), ki Lè sa a, fè li prèske enposib reponn entwitif san yo pa revele egzistans lan nan kont itilizatè a anonim.
Avèk apwòch sa a gen piti diminye itilizasyon paske si ou eseye reset yon kont ki pa egziste, pa gen okenn fidbak imedya. Natirèlman, sa a se tout pwen nan voye yon imèl, men nan yon pèspektiv reyèl itilizatè fen a, si yo antre nan move adrès la, yo pral sèlman konnen pou premye fwa lè yo resevwa imel la. Sa a ka lakòz kèk tansyon sou pati l ', men sa a se yon ti pri yo peye pou yon pwosesis sa yo ra.
Yon lòt nòt, yon ti kras nan sijè: fonksyon asistans konekte ki revele si yon non itilizatè oswa adrès imel kòrèk gen menm pwoblèm nan. Toujou reponn itilizatè a ak yon mesaj "Konbinezon non itilizatè ak modpas ou pa valab" olye ke yo konfime klèman egzistans kalifikasyon yo (pa egzanp, "non itilizatè a kòrèk, men modpas la pa kòrèk").
Voye reset modpas vs voye reset URL
Pwochen konsèp nou bezwen diskite se kijan pou réinitialiser modpas ou. Gen de solisyon popilè:
- Jenere yon nouvo modpas sou sèvè a epi voye li pa imel
- Voye yon imèl ak yon URL inik pou fè pwosesis reset la pi fasil
Malgre , premye pwen an pa ta dwe janm itilize. Pwoblèm nan ak sa a se ke li vle di gen modpas ki estoke, ke ou ka retounen epi itilize ankò nenpòt ki lè; li te voye sou yon chanèl ensekirite epi li rete nan bwat resepsyon ou. Gen chans pou bwat resepsyon yo senkronize atravè aparèy mobil ak kliyan imel la, plis yo ka estoke sou entènèt nan sèvis imel entènèt la pou yon tan trè long. Pwen an se sa yon bwat lèt pa ka konsidere kòm yon mwayen serye nan depo alontèm.
Men, san konte sa a, pwen an premye gen yon lòt pwoblèm grav - li senplifye otank posib bloke yon kont ak entansyon move. Si mwen konnen adrès imel yon moun ki posede yon kont sou yon sit entènèt, Lè sa a, mwen ka bloke yo nenpòt ki lè pa senpleman retabli modpas yo; Sa a se yon refi sèvis atak sèvi sou yon plato an ajan! Se poutèt sa reset la ta dwe fèt sèlman apre yo fin verifye dwa moun ki fè demann lan sou li.
Lè nou pale sou yon URL reset, nou vle di adrès yon sit entènèt ki se inik nan ka patikilye sa a nan pwosesis la reset. Natirèlman, li ta dwe o aza, li pa ta dwe fasil pou devine, epi li pa ta dwe genyen okenn lyen ekstèn nan kont la ki fè li pi fasil pou reset. Pa egzanp, URL reset la pa ta dwe tou senpleman yon chemen tankou "Reset/?username=JohnSmith".
Nou vle kreye yon siy inik ki ka poste kòm yon URL reset, ak Lè sa a, matche ak dosye a sèvè nan kont itilizatè a, konsa konfime ke pwopriyetè a kont se, an reyalite, menm moun ki ap eseye Reyajiste modpas la . Pou egzanp, yon siy ta ka "3ce7854015cd38c862cb9e14a1ae552b" epi estoke nan yon tablo ansanm ak ID itilizatè a ki fè reset la ak tan an te pwodwi siy la (plis sou sa a anba a). Lè yo voye imel la, li gen yon URL tankou "Reset/?id=3ce7854015cd38c862cb9e14a1ae552b", epi lè itilizatè a telechaje li, paj la mande pou egzistans siy la, apre sa li konfime enfòmasyon itilizatè a epi li pèmèt yo chanje. modpas.
Natirèlman, depi pwosesis ki anwo a (espere ke) pèmèt itilizatè a kreye yon nouvo modpas, nou bezwen asire w ke URL la chaje sou HTTPS. non, , URL jeton sa a dwe itilize sekirite kouch transpò pou nouvo fòm modpas la pa ka atake epi modpas itilizatè a te transmèt sou yon koneksyon an sekirite.
Epitou pou URL la reset ou bezwen ajoute yon limit tan siy pou pwosesis la reset ka ranpli nan yon sèten entèval, di nan yon èdtan. Sa a asire ke fenèt tan reset la kenbe nan yon minimòm pou ke moun k ap resevwa URL la reset ka sèlman aji nan fenèt ki piti anpil. Natirèlman, atakè a ka kòmanse pwosesis la reset ankò, men yo pral bezwen jwenn yon lòt URL reset inik.
Finalman, nou bezwen asire ke pwosesis sa a jetab. Yon fwa pwosesis reset la fini, yo dwe retire siy la pou URL reset la pa fonksyonèl ankò. Pwen anvan an nesesè pou asire ke atakè a gen yon ti fenèt pandan li ka manipile URL la reset. Plus, nan kou, yon fwa reset la gen siksè, siy la pa nesesè ankò.
Gen kèk nan etap sa yo ka sanble tro redondants, men yo pa entèfere ak itilizasyon ak an reyalite amelyore sekirite, byenke nan sitiyasyon ke nou espere pral ra. Nan 99% nan ka yo, itilizatè a pral pèmèt reset la nan yon peryòd tan trè kout epi li pa pral reset modpas la ankò nan fiti prè.
Wòl CAPTCHA
Oh, CAPTCHA, karakteristik sekirite nou tout renmen rayi! An reyalite, CAPTCHA se pa tèlman yon zouti pwoteksyon kòm li se yon zouti idantifikasyon - si ou se yon moun oswa yon robo (oswa yon script otomatik). Objektif li se pou fè pou evite soumèt fòm otomatik, ki, nan kou, kapab dwe itilize kòm yon tantativ kraze sekirite a. Nan kontèks reset modpas la, CAPTCHA vle di ke fonksyon reset la pa ka fòse ni spam itilizatè a oswa eseye detèmine egzistans kont yo (ki, nan kou, pa pral posib si ou swiv konsèy ki nan seksyon an sou verifye idantite).
Natirèlman, CAPTCHA nan tèt li pa pafè; Gen anpil presedan pou lojisyèl li yo "piratage" ak reyalize pousantaj siksè ase (60-70%). Anplis de sa, gen yon solisyon yo montre nan pòs mwen sou , kote ou ka peye moun fraksyon nan yon santim rezoud chak CAPTCHA ak reyalize yon pousantaj siksè nan 94%. Sa vle di, li vilnerab, men li (yon ti kras) ogmante baryè a pou antre.
Ann pran yon gade nan egzanp PayPal la:
Nan ka sa a, pwosesis reset la tou senpleman pa ka kòmanse jiskaske CAPTCHA a rezoud, kidonk teyorik li enposib otomatize pwosesis la. Nan teyori.
Sepandan, pou pifò aplikasyon entènèt sa a pral twòp ak absoliman dwat reprezante yon diminisyon nan itilizasyon - moun jis pa renmen CAPTCHA! Anplis de sa, CAPTCHA se yon bagay ke ou ka fasilman retounen nan si sa nesesè. Si sèvis la kòmanse vin anba atak (sa a se kote loging vini an sou la men, men plis sou sa pita), Lè sa a, ajoute yon CAPTCHA pa ta ka pi fasil.
Kesyon sekrè ak repons
Ak tout metòd nou te konsidere, nou te kapab réinitialiser modpas jis pa gen aksè a kont imel la. Mwen di "jis", men, nan kou, li ilegal pou jwenn aksè nan kont imel yon lòt moun. ta dwe dwe yon pwosesis konplèks. Sepandan .
An reyalite, lyen ki pi wo a sou piratage Yahoo! sèvi de rezon; premyèman, li montre kouman li fasil pou pirate (kèk) kont imel, epi dezyèmman, li montre ki jan move kesyon sekirite yo ka itilize ak entansyon move. Men, nou pral tounen sou sa pita.
Pwoblèm nan ak XNUMX% reset modpas ki baze sou imèl se ke entegrite nan kont la pou sit la ou ap eseye retabli vin XNUMX% depann sou entegrite nan kont imel la. Nenpòt moun ki gen aksè a imel ou gen aksè a nenpòt kont ki ka reset pa senpleman resevwa yon imèl. Pou kont sa yo, imel se "kle nan tout pòt" nan lavi sou entènèt ou.
Youn nan fason pou diminye risk sa a se aplike yon modèl kesyon ak repons sekirite. Pa gen dout ou te deja wè yo: chwazi yon kesyon ke ou sèlman ka reponn gen konnen repons lan, epi Lè sa a, lè ou reset modpas ou yo pral mande w pou li. Sa a ajoute konfyans ke moun ki eseye reset la se tout bon pwopriyetè kont la.
Retounen nan Sarah Palin: erè a te ke repons yo nan kesyon sekirite li / kesyon yo te ka fasil jwenn. Patikilyèman lè w se yon figi piblik enpòtan, enfòmasyon sou non jenn fi manman w, istwa edikasyon, oswa kote yon moun te ka viv nan tan lontan an se pa tout sekrè sa a. An reyalite, pifò nan li ka jwenn pa prèske nenpòt moun. Men sa ki te rive Sara:
Hacker David Kernell te jwenn aksè nan kont Palin nan jwenn detay sou background li, tankou inivèsite li ak dat nesans li, ak Lè sa a, lè l sèvi avèk karakteristik rekiperasyon modpas ki bliye Yahoo!
Premye a tout, sa a se yon erè konsepsyon sou pati nan Yahoo! - lè yo espesifye kesyon senp sa yo, konpayi an esansyèlman sabote valè kesyon sekirite a, ak Se poutèt sa pwoteksyon sistèm li yo. Natirèlman, reset modpas pou yon kont imel toujou pi difisil paske ou pa ka pwouve pwopriyetè lè w voye yon imèl bay pwopriyetè a (san yo pa gen yon dezyèm adrès), men erezman pa gen anpil itilizasyon pou kreye yon sistèm konsa jodi a.
Ann retounen nan kesyon sekirite - gen yon opsyon ki pèmèt itilizatè a kreye pwòp kesyon yo. Pwoblèm lan se ke sa a pral lakòz kesyon fò anpil evidan:
Ki koulè syèl la?
Kesyon ki fè moun alèz lè yo itilize yon kesyon sekirite pou idantifye moun (pa egzanp, nan yon sant apèl):
Ak ki moun mwen te kouche nan Nwèl la?
Oswa kesyon franchman estipid:
Ki jan ou eple "modpas"?
Lè li rive kesyon sekirite, itilizatè yo bezwen sove soti nan tèt yo! Nan lòt mo, kesyon sekirite a ta dwe detèmine pa sit la li menm, oswa pi byen toujou, mande seri kesyon sekirite nan ki itilizatè a ka chwazi. Epi li pa fasil pou w chwazi yon sèl; depreferans itilizatè a ta dwe chwazi de oswa plis kesyon sekirite nan moman enskripsyon kont lan, ki pral Lè sa a, itilize kòm yon dezyèm kanal idantifikasyon. Gen plizyè kesyon ogmante konfyans nan pwosesis verifikasyon an, epi tou li bay kapasite nan ajoute owaza (pa toujou montre menm kesyon an), plis bay yon ti jan nan redondance nan ka itilizatè aktyèl la te bliye modpas la.
Ki sa ki se yon bon kesyon sekirite? Sa a se enfliyanse pa plizyè faktè:
- Li dwe ye kout — kesyon an dwe klè ak san anbigwi.
- Repons lan dwe espesifik — nou pa bezwen yon kesyon ke yon moun ka reponn yon fason diferan
- Repons posib yo ta dwe divès - mande koulè pi renmen yon moun bay yon ti kantite repons posib
- rechèch repons lan dwe konplèks - si repons lan ka fasil jwenn nenpòt ki (sonje moun ki nan pozisyon wo), Lè sa a, li se move
- Repons lan dwe pèmanan nan tan - si ou mande fim pi renmen yon moun, Lè sa a, yon ane pita repons lan ka diferan
Kòm sa rive, gen yon sit entènèt dedye a poze bon kesyon yo rele . Gen kèk nan kesyon yo sanble byen bon, lòt moun pa pase kèk nan tès ki dekri pi wo a, espesyalman "fasilite rechèch" tès la.
Kite m 'montre kijan PayPal aplike kesyon sekirite ak, an patikilye, efò sit la mete nan otantifikasyon. Pi wo a nou te wè paj la pou kòmanse pwosesis la (avèk yon CAPTCHA), epi isit la nou pral montre sa k ap pase apre ou fin antre adrès imel ou epi rezoud CAPTCHA la:
Kòm yon rezilta, itilizatè a resevwa lèt sa a:
Jiskaprezan tout bagay se byen nòmal, men isit la se sa ki kache dèyè URL sa a reset:
Se konsa, kesyon sekirite antre nan jwèt. An reyalite, PayPal pèmèt ou retabli modpas ou tou lè w verifye nimewo kat kredi w, kidonk gen yon kanal adisyonèl ke anpil sit pa gen aksè a. Mwen jis pa ka chanje modpas mwen san mwen pa reponn tou de kesyon sekirite (oswa pa konnen nimewo kat la). Menm si yon moun te vòlè imel mwen an, yo pa t ap kapab retabli modpas kont PayPal mwen an sof si yo te konnen yon ti kras plis enfòmasyon pèsonèl sou mwen. Ki enfòmasyon? Men opsyon kesyon sekirite PayPal ofri:
Kesyon lekòl la ak lopital la ka yon ti kras endispoze an tèm de fasilite nan rechèch, men lòt moun yo pa twò move. Sepandan, pou amelyore sekirite, PayPal mande plis idantifikasyon pou chanjman repons pou kesyon sekirite yo:
PayPal se yon egzanp trè utopik nan reset modpas an sekirite: li aplike yon CAPTCHA pou diminye danje atak fòs brital yo, li mande de kesyon sekirite, epi li mande yon lòt kalite idantifikasyon konplètman diferan jis pou chanje repons yo-e sa apre itilizatè a. te deja konekte. Natirèlman, sa a se egzakteman sa nou espere soti nan PayPal; se yon enstitisyon finansye ki fè fas ak gwo sòm lajan. Sa pa vle di ke chak reset modpas dwe swiv etap sa yo-pifò nan tan li twòp-men li se yon bon egzanp pou ka kote sekirite se yon biznis serye.
Konvenyans nan sistèm kesyon sekirite a se ke si ou pa te aplike li touswit, ou ka ajoute li pita si nivo nan pwoteksyon resous mande sa. Yon bon egzanp sa a se Apple, ki sèlman dènyèman aplike mekanis sa a [atik ekri an 2012]. Yon fwa mwen te kòmanse mete ajou aplikasyon an sou iPad mwen an, mwen te wè demann sa a:
Lè sa a, mwen te wè yon ekran kote mwen te kapab chwazi plizyè pè kesyon ak repons sekirite, osi byen ke yon adrès imel sekou:
Kòm pou PayPal, kesyon yo pre-seleksyone ak kèk nan yo aktyèlman trè bon:
Chak nan twa pè kesyon/repons yo reprezante yon seri diferan kesyon posib, kidonk gen anpil fason pou konfigirasyon yon kont.
Yon lòt aspè pou konsidere konsènan reponn kesyon sekirite ou se depo. Èske w gen yon baz done tèks klè nan baz done a poze prèske menm menas ak yon modpas, sètadi ke ekspoze baz done a imedyatman revele valè a epi li mete non sèlman aplikasyon an nan risk, men aplikasyon potansyèlman konplètman diferan lè l sèvi avèk menm kesyon sekirite yo (ankò. ). Youn nan opsyon se hashing an sekirite (yon algorithm fò ak yon sèl kriptografik o aza), men kontrèman ak pifò ka depo modpas, ka gen yon bon rezon pou repons lan vizib kòm tèks klè. Yon senaryo tipik se verifikasyon idantite pa yon operatè telefòn ap viv. Natirèlman, hashing aplikab tou nan ka sa a (operatè a ka tou senpleman antre nan repons kliyan an nonmen), men nan ka ki pi mal la, repons sekrè a dwe lokalize nan kèk nivo depo kriptografik, menm si li se jis chifreman simetrik. . Rezime: trete sekrè tankou sekrè!
Yon dènye aspè nan kesyon sekirite ak repons yo se ke yo pi vilnerab a jeni sosyal. Eseye dirèkteman ekstrè modpas la nan kont yon lòt moun se yon sèl bagay, men kòmanse yon konvèsasyon sou fòmasyon li yo (yon kesyon sekirite popilè) se konplètman diferan. An reyalite, ou ka trè byen kominike ak yon moun sou anpil aspè nan lavi yo ki ta ka poze yon kesyon sekrè san yo pa eksite sispèk. Natirèlman, pwen an nan yon kesyon sekirite se ke li gen rapò ak eksperyans lavi yon moun, kidonk li se memorab, e se la kote pwoblèm nan manti - moun renmen pale sou eksperyans lavi yo! Gen ti kras ou ka fè sou sa a, sèlman si w chwazi opsyon kesyon sekirite sa yo pou yo ye mwens ta ka pwobableman rale pa jeni sosyal.
[A kontinye.]Sou Dwa yo nan Piblisite
VDSina ofri serye , chak sèvè konekte ak yon chanèl Entènèt 500 Megabit epi li pwoteje kont atak DDoS gratis!
Sous: www.habr.com