អ្វីគ្រប់យ៉ាងដែលអ្នកចង់ដឹងអំពីការកំណត់ពាក្យសម្ងាត់ឡើងវិញដោយសុវត្ថិភាព។ ផ្នែកទី 1

ថ្មីៗ​នេះ ខ្ញុំ​មាន​ពេល​គិត​ម្ដង​ទៀត​អំពី​របៀប​ដែល​មុខងារ​កំណត់​ពាក្យ​សម្ងាត់​សុវត្ថិភាព​គួរ​ដំណើរការ ជា​ដំបូង​ពេល​ខ្ញុំ​កំពុង​បង្កើត​មុខងារ​នេះ​ទៅ​ក្នុង ASafaWebហើយបន្ទាប់មកនៅពេលដែលគាត់បានជួយមនុស្សម្នាក់ទៀតធ្វើអ្វីមួយស្រដៀងគ្នា។ ក្នុងករណីទីពីរ ខ្ញុំចង់ផ្តល់ឱ្យគាត់នូវតំណភ្ជាប់ទៅកាន់ធនធាន Canonical ជាមួយនឹងព័ត៌មានលម្អិតទាំងអស់អំពីរបៀបអនុវត្តមុខងារកំណត់ឡើងវិញដោយសុវត្ថិភាព។ ទោះយ៉ាងណាក៏ដោយ បញ្ហាគឺថាធនធានបែបនេះមិនមានទេ យ៉ាងហោចណាស់ក៏មិនមានអ្វីមួយដែលពិពណ៌នាអំពីអ្វីគ្រប់យ៉ាងដែលហាក់ដូចជាសំខាន់សម្រាប់ខ្ញុំដែរ។ ដូច្នេះខ្ញុំសម្រេចចិត្តសរសេរវាដោយខ្លួនឯង។

អ្នកឃើញទេ ពិភពនៃពាក្យសម្ងាត់ដែលភ្លេចគឺពិតជាអាថ៌កំបាំងមួយ។ មានទស្សនៈផ្សេងគ្នាជាច្រើន ដែលអាចទទួលយកបានទាំងស្រុង និងចំណុចគ្រោះថ្នាក់ជាច្រើន ឱកាសដែលអ្នកបានជួបប្រទះពួកគេនីមួយៗជាច្រើនដងក្នុងនាមជាអ្នកប្រើប្រាស់ចុងក្រោយ។ ដូច្នេះ ខ្ញុំនឹងព្យាយាមប្រើឧទាហរណ៍ទាំងនេះ ដើម្បីបង្ហាញថាអ្នកណាដែលធ្វើវាត្រូវ អ្នកណាមិនត្រូវ និងអ្វីដែលអ្នកត្រូវផ្តោតលើដើម្បីទទួលបានមុខងារត្រឹមត្រូវនៅក្នុងកម្មវិធីរបស់អ្នក។

ការ​ផ្ទុក​ពាក្យ​សម្ងាត់៖ ការ​វាយ​លេខ​សម្ងាត់ ការ​បំប្លែង​លេខ​សម្ងាត់ និង​អត្ថបទ​ធម្មតា​

យើងមិនអាចពិភាក្សាពីអ្វីដែលត្រូវធ្វើជាមួយពាក្យសម្ងាត់ដែលភ្លេច មុនពេលយើងពិភាក្សាអំពីរបៀបរក្សាទុកពួកវា។ ពាក្យ​សម្ងាត់​ត្រូវ​បាន​រក្សា​ទុក​ក្នុង​មូលដ្ឋាន​ទិន្នន័យ​ក្នុង​ចំណោម​ប្រភេទ​សំខាន់​ទាំង​បី៖

1. អត្ថបទសាមញ្ញ។ មានជួរឈរពាក្យសម្ងាត់ដែលត្រូវបានរក្សាទុកក្នុងទម្រង់អត្ថបទធម្មតា។
2. បានអ៊ិនគ្រីប។ ជាធម្មតាការប្រើការអ៊ិនគ្រីបស៊ីមេទ្រី (សោមួយត្រូវបានប្រើសម្រាប់ទាំងការអ៊ិនគ្រីប និងការឌិគ្រីប) ហើយពាក្យសម្ងាត់ដែលបានអ៊ិនគ្រីបក៏ត្រូវបានរក្សាទុកក្នុងជួរដូចគ្នាដែរ។
3. ហាស។ ដំណើរ​ការ​ផ្លូវ​មួយ (ពាក្យ​សម្ងាត់​អាច​ត្រូវ​បាន​គេ hash ប៉ុន្តែ​មិន​អាច​ត្រូវ​បាន dehashed); ពាក្យសម្ងាត់, ខ្ញុំចង់សង្ឃឹមអមដោយអំបិលមួយ ហើយនីមួយៗស្ថិតនៅក្នុងជួររបស់វា។

តោះឆ្លើយសំណួរសាមញ្ញបំផុត៖ កុំរក្សាទុកពាក្យសម្ងាត់ជាអត្ថបទធម្មតា! មិនដែល ភាពងាយរងគ្រោះតែមួយចំពោះ ការចាក់ការបម្រុងទុកដែលមិនខ្វល់ខ្វាយមួយ ឬកំហុសដ៏សាមញ្ញមួយក្នុងចំនោមកំហុសសាមញ្ញរាប់សិបផ្សេងទៀត - ហើយនោះហើយជាវា ការលេងហ្គេម ពាក្យសម្ងាត់របស់អ្នកទាំងអស់ - នោះគឺសុំទោស។ ពាក្យសម្ងាត់របស់អតិថិជនរបស់អ្នកទាំងអស់។ នឹងក្លាយជាដែនសាធារណៈ។ ជា​ការ​ពិត​ណាស់ នេះ​នឹង​មាន​ន័យ​ថា​មាន​លទ្ធភាព​ដ៏​ធំ​នោះ។ ពាក្យសម្ងាត់របស់ពួកគេ។ ពីគណនីរបស់ពួកគេទាំងអស់នៅក្នុងប្រព័ន្ធផ្សេងទៀត។ ហើយវានឹងក្លាយជាកំហុសរបស់អ្នក។

ការអ៊ិនគ្រីបគឺល្អជាង ប៉ុន្តែមានចំណុចខ្សោយរបស់វា។ បញ្ហាជាមួយនឹងការអ៊ិនគ្រីបគឺការឌិគ្រីប; យើង​អាច​យក​អក្សរ​សម្ងាត់​ដែល​មើល​ទៅ​ឆ្កួតៗ​ទាំងនេះ ហើយ​បំប្លែង​វា​ត្រឡប់​ទៅ​ជា​អត្ថបទ​ធម្មតា​វិញ ហើយ​នៅ​ពេល​ដែល​វា​កើត​ឡើង យើង​ត្រឡប់​ទៅ​ស្ថានភាព​ពាក្យ​សម្ងាត់​ដែល​មនុស្ស​អាច​អាន​បាន។ តើរឿងនេះកើតឡើងដោយរបៀបណា? កំហុសតូចមួយចូលទៅក្នុងកូដដែលឌិគ្រីបពាក្យសម្ងាត់ ធ្វើឱ្យវាអាចប្រើបានជាសាធារណៈ - នេះគឺជាវិធីមួយ។ ពួក Hacker ទទួលបានសិទ្ធិចូលទៅកាន់ម៉ាស៊ីនដែលទិន្នន័យដែលបានអ៊ិនគ្រីបត្រូវបានរក្សាទុក - នេះគឺជាវិធីសាស្ត្រទីពីរ។ វិធីមួយទៀតគឺការលួចបម្រុងទុកមូលដ្ឋានទិន្នន័យ ហើយនរណាម្នាក់ក៏ទទួលបានសោអ៊ិនគ្រីបផងដែរ ដែលជារឿយៗត្រូវបានរក្សាទុកដោយសុវត្ថិភាព។

ហើយ​នេះ​នាំ​យើង​ទៅ​រក​ការ​វាយ​តម្លៃ។ គំនិតនៅពីក្រោយ hashing គឺថាវាជាផ្លូវតែមួយ។ មធ្យោបាយតែមួយគត់ដើម្បីប្រៀបធៀបពាក្យសម្ងាត់ដែលបានបញ្ចូលដោយអ្នកប្រើប្រាស់ជាមួយនឹងកំណែដែលបានកំណត់របស់វា គឺត្រូវហាប់ការបញ្ចូល ហើយប្រៀបធៀបពួកវា។ ដើម្បីទប់ស្កាត់ការវាយប្រហារពីឧបករណ៍ដូចជាតារាងឥន្ទធនូ យើងអំបិលដំណើរការដោយចៃដន្យ (អានរបស់ខ្ញុំ ប្រកាស អំពីឃ្លាំងសម្ងាត់) ។ ជាចុងក្រោយ ប្រសិនបើអនុវត្តបានត្រឹមត្រូវ យើងអាចជឿជាក់បានថា ពាក្យសម្ងាត់ដែល hashed នឹងមិនក្លាយជាអត្ថបទធម្មតាម្តងទៀតទេ (ខ្ញុំនឹងនិយាយអំពីអត្ថប្រយោជន៍នៃក្បួនដោះស្រាយ hashing ផ្សេងៗគ្នានៅក្នុងប្រកាសមួយផ្សេងទៀត)។

អាគុយម៉ង់រហ័សអំពីការ hashing vs. encryption: ហេតុផលតែមួយគត់ដែលអ្នកមិនធ្លាប់ត្រូវការដើម្បី encrypt ជាជាង hash password គឺនៅពេលដែលអ្នកត្រូវការមើល password ជាអក្សរធម្មតា ហើយ អ្នកមិនគួរចង់បានរឿងនេះទេ។យ៉ាងហោចណាស់នៅក្នុងស្ថានភាពគេហទំព័រស្តង់ដារ។ ប្រសិនបើអ្នកត្រូវការវា នោះទំនងជាអ្នកកំពុងធ្វើអ្វីខុស!

សូមប្រយ័ត្ន!

ខាងក្រោមនៅក្នុងអត្ថបទនៃការបង្ហោះមានផ្នែកនៃរូបថតអេក្រង់នៃគេហទំព័រអាសអាភាស AlotPorn ។ វាត្រូវបានតុបតែងយ៉ាងស្អាត ដូច្នេះគ្មានអ្វីដែលអ្នកមើលមិនឃើញនៅលើឆ្នេរនោះទេ ប៉ុន្តែប្រសិនបើវានៅតែអាចបង្កបញ្ហាណាមួយ សូមកុំអូសចុះក្រោម។

កំណត់ពាក្យសម្ងាត់របស់អ្នកឡើងវិញជានិច្ច មិនដែល កុំរំលឹកគាត់

តើអ្នកធ្លាប់ត្រូវបានស្នើសុំឱ្យបង្កើតមុខងារដែរឬទេ ការរំលឹក ពាក្យសម្ងាត់? បោះជំហានថយក្រោយ ហើយគិតអំពីសំណើនេះបញ្ច្រាស់៖ ហេតុអ្វីបានជា "ការរំលឹក" នេះចាំបាច់? ដោយសារតែអ្នកប្រើប្រាស់ភ្លេចលេខសម្ងាត់។ តើយើងពិតជាចង់ធ្វើអ្វី? ជួយគាត់ចូលម្តងទៀត។

ខ្ញុំដឹងថាពាក្យ "ការរំលឹក" ត្រូវបានគេប្រើ (ជាញឹកញាប់) ក្នុងន័យសាមញ្ញ ប៉ុន្តែអ្វីដែលយើងកំពុងព្យាយាមធ្វើគឺ ជួយអ្នកប្រើប្រាស់ឱ្យនៅលើអ៊ីនធឺណិតម្តងទៀតដោយសុវត្ថិភាព. ដោយសារ​យើង​ត្រូវ​ការ​សុវត្ថិភាព មាន​ហេតុផល​ពីរ​យ៉ាង​ដែល​ការ​រំលឹក (ឧ. ការ​ផ្ញើ​លេខ​សម្ងាត់​របស់​អ្នក​ប្រើ) មិន​សមរម្យ៖

1. អ៊ីមែល​គឺ​ជា​ឆានែល​មិន​មាន​សុវត្ថិភាព។ ដូច​ជា​យើង​នឹង​មិន​ផ្ញើ​អ្វី​ដែល​រសើប​តាម HTTP (យើង​នឹង​ប្រើ HTTPS) យើង​មិន​គួរ​ផ្ញើ​អ្វី​ដែល​រសើប​តាម​អ៊ីមែល​ទេ ព្រោះ​ស្រទាប់​ដឹក​ជញ្ជូន​របស់​វា​មិន​មាន​សុវត្ថិភាព។ តាមពិតទៅ នេះគឺអាក្រក់ជាងការផ្ញើព័ត៌មានតាមពិធីការដឹកជញ្ជូនដែលមិនមានសុវត្ថិភាពទៅទៀត ពីព្រោះជាញឹកញាប់សំបុត្រត្រូវបានរក្សាទុកនៅលើឧបករណ៍ផ្ទុក អ្នកគ្រប់គ្រងប្រព័ន្ធអាចចូលប្រើបាន បញ្ជូនបន្ត និងចែកចាយ មេរោគអាចចូលប្រើបានជាដើម។ អ៊ី​ម៉ែ​ល​ដែល​មិន​បាន​អ៊ិនគ្រីប​គឺ​ជា​ឆានែល​មិន​មាន​សុវត្ថិភាព​ខ្លាំង​ណាស់​។
2. អ្នកមិនគួរមានសិទ្ធិចូលប្រើពាក្យសម្ងាត់យ៉ាងណាក៏ដោយ។ អានផ្នែកមុននៅលើកន្លែងផ្ទុកឡើងវិញ - អ្នកគួរតែមានលេខសម្ងាត់ (ជាមួយអំបិលល្អ) មានន័យថាអ្នកមិនគួរអាចដកលេខសម្ងាត់តាមមធ្យោបាយណាមួយ ហើយផ្ញើវាតាមប្រៃសណីយ៍បានទេ។

ខ្ញុំសូមបង្ហាញបញ្ហាជាមួយនឹងឧទាហរណ៍មួយ។ usoutdoor.com៖ នេះជាទំព័រចូលធម្មតា៖

ជាក់ស្តែង បញ្ហាទីមួយគឺថា ទំព័រចូលមិនផ្ទុកលើ HTTPS ទេ ប៉ុន្តែគេហទំព័រនេះក៏ដាស់តឿនអ្នកឱ្យផ្ញើពាក្យសម្ងាត់ ("ផ្ញើពាក្យសម្ងាត់")។ នេះអាចជាឧទាហរណ៍នៃការប្រើប្រាស់ពាក្យដដែលៗនៃពាក្យដែលបានរៀបរាប់ខាងលើ ដូច្នេះសូមលើកវាមួយជំហានទៀត ហើយមើលថាមានអ្វីកើតឡើង៖

វាមិនមើលទៅប្រសើរជាងនេះទេ ជាអកុសល។ ហើយអ៊ីមែលបញ្ជាក់ថាមានបញ្ហា៖

នេះប្រាប់យើងពីទិដ្ឋភាពសំខាន់ពីររបស់ usoutdoor.com៖

1. គេហទំព័រនេះមិនមានលេខសម្ងាត់ទេ។ ល្អបំផុត ពួកគេត្រូវបានអ៊ិនគ្រីប ប៉ុន្តែវាទំនងជាថាពួកវាត្រូវបានរក្សាទុកជាអត្ថបទធម្មតា យើង​មិន​ឃើញ​មាន​ភស្តុតាង​ផ្ទុយ​ពី​នេះ​ទេ។
2. គេហទំព័រនេះផ្ញើពាក្យសម្ងាត់រយៈពេលវែង (យើងអាចត្រឡប់ទៅវិញ ហើយប្រើវាម្តងហើយម្តងទៀត) លើបណ្តាញដែលគ្មានសុវត្ថិភាព។

ជាមួយនឹងបញ្ហានេះ យើងត្រូវពិនិត្យមើលថាតើដំណើរការកំណត់ឡើងវិញត្រូវបានធ្វើក្នុងលក្ខណៈសុវត្ថិភាពដែរឬទេ។ ជំហានដំបូងដើម្បីធ្វើដូច្នេះគឺត្រូវប្រាកដថាអ្នកស្នើសុំមានសិទ្ធិធ្វើការកំណត់ឡើងវិញ។ នៅក្នុងពាក្យផ្សេងទៀត, មុនពេលនេះយើងត្រូវការការត្រួតពិនិត្យអត្តសញ្ញាណ; សូមក្រឡេកមើលថាតើមានអ្វីកើតឡើងនៅពេលដែលអត្តសញ្ញាណត្រូវបានផ្ទៀងផ្ទាត់ដោយមិនបានផ្ទៀងផ្ទាត់ជាមុនថាអ្នកស្នើសុំនោះពិតជាម្ចាស់គណនី។

ការចុះបញ្ជីឈ្មោះអ្នកប្រើប្រាស់ និងផលប៉ះពាល់របស់វាទៅលើភាពអនាមិក

បញ្ហានេះត្រូវបានបង្ហាញយ៉ាងល្អបំផុតដោយមើលឃើញ។ បញ្ហា៖

តើ​អ្នក​ឃើញ​ទេ? យកចិត្តទុកដាក់លើសារ "មិនមានអ្នកប្រើប្រាស់ចុះឈ្មោះជាមួយអាសយដ្ឋានអ៊ីមែលនេះទេ"។ បញ្ហាជាក់ស្តែងកើតឡើងប្រសិនបើគេហទំព័របែបនេះបញ្ជាក់ ភាពអាចរកបាន អ្នកប្រើប្រាស់បានចុះឈ្មោះជាមួយអាសយដ្ឋានអ៊ីមែលបែបនេះ។ Bingo - អ្នកទើបតែរកឃើញរឿងអាសអាភាសរបស់ប្តី / ចៅហ្វាយ / អ្នកជិតខាងរបស់អ្នក!

ជាការពិតណាស់ រឿងអាសអាភាសគឺជាឧទាហរណ៍ដ៏គួរឱ្យចាប់អារម្មណ៍មួយអំពីសារៈសំខាន់នៃភាពឯកជន ប៉ុន្តែគ្រោះថ្នាក់នៃការភ្ជាប់បុគ្គលជាមួយគេហទំព័រជាក់លាក់មួយគឺមានលក្ខណៈទូលំទូលាយជាងស្ថានភាពដ៏គួរឱ្យភ័យខ្លាចដែលបានពិពណ៌នាខាងលើ។ គ្រោះថ្នាក់មួយគឺវិស្វកម្មសង្គម; ប្រសិនបើអ្នកវាយប្រហារអាចផ្គូផ្គងមនុស្សម្នាក់ជាមួយសេវាកម្ម នោះគាត់នឹងមានព័ត៌មានដែលគាត់អាចចាប់ផ្តើមប្រើប្រាស់បាន។ ឧទាហរណ៍ គាត់​អាច​ទាក់ទង​អ្នក​ដែល​តាំង​ខ្លួន​ជា​តំណាង​គេហទំព័រ​មួយ ហើយ​ស្នើ​សុំ​ព័ត៌មាន​បន្ថែម​ក្នុង​ការ​ប៉ុនប៉ង​ធ្វើ ការបន្លំលំពែង.

ការអនុវត្តបែបនេះក៏បង្កើនគ្រោះថ្នាក់នៃ "ការរាប់បញ្ចូលឈ្មោះអ្នកប្រើប្រាស់" ដែលមនុស្សម្នាក់អាចផ្ទៀងផ្ទាត់អត្ថិភាពនៃបណ្តុំនៃឈ្មោះអ្នកប្រើប្រាស់ ឬអាសយដ្ឋានអ៊ីមែលនៅលើគេហទំព័រដោយគ្រាន់តែធ្វើសំណួរជាក្រុម និងពិនិត្យមើលការឆ្លើយតបចំពោះពួកគេ។ តើ​អ្នក​មាន​បញ្ជី​អាសយដ្ឋាន​អ៊ីមែល​របស់​បុគ្គលិក​ទាំងអស់ និង​ប៉ុន្មាន​នាទី​ដើម្បី​សរសេរ​ស្គ្រីប​ទេ? នោះ​អ្នក​ឃើញ​ថា​អ្វី​ជា​បញ្ហា​!

តើអ្វីជាជម្រើសជំនួស? តាមការពិត វាគឺសាមញ្ញណាស់ ហើយត្រូវបានអនុវត្តយ៉ាងអស្ចារ្យនៅក្នុង Entropay:

នៅទីនេះ Entropay មិនបង្ហាញអ្វីទាំងអស់អំពីអត្ថិភាពនៃអាសយដ្ឋានអ៊ីមែលនៅក្នុងប្រព័ន្ធរបស់វា។ ដល់អ្នកដែលមិនមានអាសយដ្ឋាននេះ។. ប្រសិនបើ​អ្នក ផ្ទាល់ខ្លួន អាសយដ្ឋាននេះ ហើយវាមិនមាននៅក្នុងប្រព័ន្ធទេ បន្ទាប់មកអ្នកនឹងទទួលបានអ៊ីមែលដូចនេះ៖

ជាការពិតណាស់ ប្រហែលជាមានស្ថានភាពដែលអាចទទួលយកបានដែលនរណាម្នាក់ គិតដែលអ្នកបានចុះឈ្មោះនៅលើគេហទំព័រ។ ប៉ុន្តែនេះមិនមែនជាករណីនោះទេ ឬខ្ញុំបានធ្វើវាពីអាសយដ្ឋានអ៊ីមែលផ្សេង។ ឧទាហរណ៍ដែលបានបង្ហាញខាងលើដោះស្រាយស្ថានភាពទាំងពីរបានយ៉ាងល្អ។ ជាក់ស្តែង ប្រសិនបើអាសយដ្ឋានត្រូវគ្នា អ្នកនឹងទទួលបានអ៊ីមែល ដែលធ្វើឱ្យវាកាន់តែងាយស្រួលក្នុងការកំណត់ពាក្យសម្ងាត់របស់អ្នកឡើងវិញ។

ភាពទន់ភ្លន់នៃដំណោះស្រាយដែលត្រូវបានជ្រើសរើសដោយ Entropay គឺថាការផ្ទៀងផ្ទាត់អត្តសញ្ញាណត្រូវបានអនុវត្តតាម អ៊ីមែល មុនពេលការផ្ទៀងផ្ទាត់តាមអ៊ីនធឺណិត។ គេហទំព័រខ្លះសួរអ្នកប្រើប្រាស់សម្រាប់ចម្លើយចំពោះសំណួរសុវត្ថិភាព (បន្ថែមលើនេះខាងក្រោម) រហូតដល់ទៅ របៀបដែលការកំណត់ឡើងវិញអាចចាប់ផ្តើម; ទោះយ៉ាងណាក៏ដោយ បញ្ហាជាមួយនេះគឺថាអ្នកត្រូវតែឆ្លើយសំណួរខណៈពេលដែលផ្តល់នូវទម្រង់អត្តសញ្ញាណមួយចំនួន (អ៊ីមែល ឬឈ្មោះអ្នកប្រើប្រាស់) ដែលបន្ទាប់មកធ្វើឱ្យវាស្ទើរតែមិនអាចឆ្លើយដោយវិចារណញាណដោយមិនបង្ហាញពីអត្ថិភាពនៃគណនីរបស់អ្នកប្រើអនាមិក។

ជាមួយនឹងវិធីសាស្រ្តនេះមាន តូច ការថយចុះលទ្ធភាពប្រើប្រាស់ ព្រោះប្រសិនបើអ្នកព្យាយាមកំណត់គណនីដែលមិនមានឡើងវិញ នោះមិនមានមតិកែលម្អភ្លាមៗទេ។ ជាការពិតណាស់ នោះជាចំណុចទាំងមូលនៃការផ្ញើអ៊ីមែល ប៉ុន្តែតាមទស្សនៈរបស់អ្នកប្រើចុងក្រោយ ប្រសិនបើពួកគេបញ្ចូលអាសយដ្ឋានខុស ពួកគេនឹងដឹងជាលើកដំបូងនៅពេលដែលពួកគេទទួលបានអ៊ីមែល។ នេះអាចបណ្តាលឱ្យមានភាពតានតឹងខ្លះចំពោះផ្នែករបស់គាត់ ប៉ុន្តែនេះគឺជាតម្លៃតូចមួយដែលត្រូវចំណាយសម្រាប់ដំណើរការដ៏កម្របែបនេះ។

ចំណាំមួយទៀត បិទប្រធានបទបន្តិច៖ មុខងារជំនួយការចូលដែលបង្ហាញថាតើឈ្មោះអ្នកប្រើប្រាស់ ឬអាសយដ្ឋានអ៊ីមែលត្រឹមត្រូវមានបញ្ហាដូចគ្នា។ ឆ្លើយតបទៅកាន់អ្នកប្រើប្រាស់ជានិច្ចជាមួយនឹងសារ "ការរួមបញ្ចូលឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់របស់អ្នកមិនត្រឹមត្រូវ" ជាជាងការបញ្ជាក់យ៉ាងច្បាស់អំពីអត្ថិភាពនៃព័ត៌មានសម្ងាត់ (ឧទាហរណ៍ "ឈ្មោះអ្នកប្រើប្រាស់ត្រឹមត្រូវ ប៉ុន្តែពាក្យសម្ងាត់មិនត្រឹមត្រូវ")។

ការផ្ញើកំណត់ពាក្យសម្ងាត់ឡើងវិញ ធៀបនឹងការផ្ញើ URL កំណត់ឡើងវិញ

គោលគំនិតបន្ទាប់ដែលយើងត្រូវពិភាក្សាគឺរបៀបកំណត់ពាក្យសម្ងាត់របស់អ្នកឡើងវិញ។ មានដំណោះស្រាយពេញនិយមពីរ៖

1. ការបង្កើតពាក្យសម្ងាត់ថ្មីនៅលើម៉ាស៊ីនមេ ហើយផ្ញើវាតាមអ៊ីមែល
2. ផ្ញើអ៊ីមែលដែលមាន URL តែមួយគត់ដើម្បីធ្វើឱ្យដំណើរការកំណត់ឡើងវិញកាន់តែងាយស្រួល

ទោះជា មគ្គុទ្ទេសក៍ជាច្រើន។ចំណុចដំបូងមិនគួរប្រើទេ។ បញ្ហាជាមួយនេះគឺថាវាមានន័យថាមាន ពាក្យសម្ងាត់ដែលបានរក្សាទុកដែលអ្នកអាចត្រឡប់ទៅ និងប្រើម្តងទៀតបានគ្រប់ពេល។ វា​ត្រូវ​បាន​ផ្ញើ​តាម​ឆានែល​មិន​មាន​សុវត្ថិភាព ហើយ​នៅ​តែ​មាន​ក្នុង​ប្រអប់​ទទួល​របស់​អ្នក។ ឱកាសគឺថាប្រអប់ទទួលត្រូវបានធ្វើសមកាលកម្មនៅលើឧបករណ៍ចល័ត និងកម្មវិធីអ៊ីមែល បូករួមទាំងពួកវាអាចត្រូវបានរក្សាទុកនៅលើអ៊ីនធឺណិតនៅក្នុងសេវាកម្មអ៊ីមែលគេហទំព័រអស់រយៈពេលជាយូរមកហើយ។ ចំណុចនោះគឺថា ប្រអប់សំបុត្រមិនអាចចាត់ទុកថាជាមធ្យោបាយដែលអាចទុកចិត្តបាននៃការផ្ទុករយៈពេលវែងនោះទេ។.

ប៉ុន្តែក្រៅពីនេះចំណុចទីមួយមានបញ្ហាធ្ងន់ធ្ងរមួយទៀត - វា។ សម្រួលឱ្យបានច្រើនតាមដែលអាចធ្វើទៅបាន។ រារាំងគណនីដែលមានចេតនាព្យាបាទ។ ប្រសិនបើខ្ញុំស្គាល់អាសយដ្ឋានអ៊ីមែលរបស់នរណាម្នាក់ដែលជាម្ចាស់គណនីនៅលើគេហទំព័រនោះ ខ្ញុំអាចទប់ស្កាត់ពួកគេនៅពេលណាមួយដោយគ្រាន់តែកំណត់ពាក្យសម្ងាត់របស់ពួកគេឡើងវិញ។ នេះ​ជា​ការ​បដិសេធ​នៃ​ការ​វាយ​ប្រហារ​សេវា​បម្រើ​នៅ​លើ​ចាន​ប្រាក់! នេះ​ជា​មូលហេតុ​ដែល​ការ​កំណត់​ឡើង​វិញ​គួរ​តែ​ត្រូវ​បាន​អនុវត្ត​បន្ទាប់​ពី​ការ​ផ្ទៀងផ្ទាត់​ដោយ​ជោគជ័យ​នៃ​សិទ្ធិ​របស់​អ្នក​ស្នើ​សុំ​ទៅ​វា​។

នៅពេលយើងនិយាយអំពីការកំណត់ URL ឡើងវិញ យើងមានន័យថាអាសយដ្ឋាននៃគេហទំព័រនោះ។ ពិសេសចំពោះករណីពិសេសនៃដំណើរការកំណត់ឡើងវិញនេះ។. ជាការពិតណាស់ វាគួរតែចៃដន្យ វាមិនងាយស្មាន ហើយវាមិនគួរមានតំណភ្ជាប់ខាងក្រៅណាមួយទៅកាន់គណនីដែលធ្វើឱ្យវាងាយស្រួលក្នុងការកំណត់ឡើងវិញនោះទេ។ ឧទាហរណ៍ URL កំណត់ឡើងវិញមិនគួរគ្រាន់តែជាផ្លូវដូចជា "Reset/?username=JohnSmith" ទេ។

យើងចង់បង្កើតនិមិត្តសញ្ញាតែមួយគត់ដែលអាចផ្ញើតាមអ៊ីមែលជាការកំណត់ URL ឡើងវិញ ហើយបន្ទាប់មកត្រូវគ្នានឹងកំណត់ត្រាម៉ាស៊ីនមេនៃគណនីរបស់អ្នកប្រើប្រាស់ ដូច្នេះបញ្ជាក់ថា តាមពិតម្ចាស់គណនីគឺជាមនុស្សដូចគ្នាដែលកំពុងព្យាយាមកំណត់ពាក្យសម្ងាត់ឡើងវិញ។ ឧទាហរណ៍ សញ្ញាសម្ងាត់អាចជា "3ce7854015cd38c862cb9e14a1ae552b" ហើយរក្សាទុកក្នុងតារាង រួមជាមួយនឹងលេខសម្គាល់របស់អ្នកប្រើប្រាស់ដែលធ្វើការកំណត់ឡើងវិញ និងពេលវេលាដែលសញ្ញាសម្ងាត់ត្រូវបានបង្កើត (បន្ថែមលើវាខាងក្រោម)។ នៅពេលដែលអ៊ីមែលត្រូវបានផ្ញើ វាមាន URL ដូចជា “Reset/?id=3ce7854015cd38c862cb9e14a1ae552b” ហើយនៅពេលអ្នកប្រើប្រាស់ទាញយកវា ទំព័រនឹងប្រាប់អំពីអត្ថិភាពនៃសញ្ញាសម្ងាត់ បន្ទាប់ពីនោះវាបញ្ជាក់ព័ត៌មានរបស់អ្នកប្រើប្រាស់ និងអនុញ្ញាតឱ្យពួកគេផ្លាស់ប្តូរ ពាក្យសម្ងាត់។

ជាការពិតណាស់ ដោយសារដំណើរការខាងលើ (សង្ឃឹមថា) អនុញ្ញាតឱ្យអ្នកប្រើបង្កើតពាក្យសម្ងាត់ថ្មី យើងត្រូវធានាថា URL ត្រូវបានផ្ទុកនៅលើ HTTPS ។ ទេ ការផ្ញើវាជាមួយសំណើ POST លើ HTTPS មិនគ្រប់គ្រាន់ទេ។URL និមិត្តសញ្ញានេះត្រូវតែប្រើសុវត្ថិភាពស្រទាប់ដឹកជញ្ជូន ដូច្នេះទម្រង់ពាក្យសម្ងាត់ថ្មីមិនអាចវាយប្រហារបានទេ។ MITM ហើយពាក្យសម្ងាត់ដែលបង្កើតដោយអ្នកប្រើប្រាស់ត្រូវបានបញ្ជូនតាមរយៈការតភ្ជាប់ដែលមានសុវត្ថិភាព។

សម្រាប់ការកំណត់ URL ឡើងវិញ អ្នកត្រូវបន្ថែមរយៈពេលកំណត់សញ្ញាសម្ងាត់ ដូច្នេះដំណើរការកំណត់ឡើងវិញអាចត្រូវបានបញ្ចប់ក្នុងចន្លោះពេលជាក់លាក់មួយ និយាយថាក្នុងរយៈពេលមួយម៉ោង។ នេះធានាថា វិនដូពេលវេលាកំណត់ឡើងវិញត្រូវបានរក្សាទុកនៅអប្បបរមា ដូច្នេះអ្នកទទួលនៃ URL កំណត់ឡើងវិញអាចធ្វើសកម្មភាពតែនៅក្នុងបង្អួចតូចបំផុតនោះ។ ជាការពិតណាស់ អ្នកវាយប្រហារអាចចាប់ផ្តើមដំណើរការកំណត់ឡើងវិញម្តងទៀត ប៉ុន្តែពួកគេនឹងត្រូវការទទួលបាន URL កំណត់ឡើងវិញតែមួយគត់ផ្សេងទៀត។

ជាចុងក្រោយ យើងត្រូវធានាថា ដំណើរការនេះអាចចោលបាន។ នៅពេលដែលដំណើរការកំណត់ឡើងវិញត្រូវបានបញ្ចប់ និមិត្តសញ្ញាត្រូវតែត្រូវបានយកចេញ ដូច្នេះ URL កំណត់ឡើងវិញលែងមានមុខងារទៀតហើយ។ ចំណុចមុនគឺចាំបាច់ដើម្បីធានាថាអ្នកវាយប្រហារមានបង្អួចតូចបំផុតក្នុងអំឡុងពេលដែលគាត់អាចរៀបចំ URL កំណត់ឡើងវិញបាន។ លើសពីនេះទៀត នៅពេលដែលការកំណត់ឡើងវិញបានជោគជ័យ និមិត្តសញ្ញាមិនចាំបាច់ទៀតទេ។

ជំហាន​ទាំងនេះ​មួយ​ចំនួន​អាច​មើល​ទៅ​ហាក់​ដូច​ជា​ហួសហេតុ​ពេក ប៉ុន្តែ​វា​មិន​រំខាន​ដល់​លទ្ធភាព​ប្រើប្រាស់​និង​ ជាការពិត ធ្វើឱ្យប្រសើរឡើងនូវសុវត្ថិភាព ទោះបីជាស្ថិតក្នុងស្ថានភាពដែលយើងសង្ឃឹមថានឹងកម្រក៏ដោយ។ ក្នុង 99% នៃករណី អ្នកប្រើប្រាស់នឹងបើកការកំណត់ឡើងវិញក្នុងរយៈពេលដ៏ខ្លី ហើយនឹងមិនកំណត់ពាក្យសម្ងាត់ឡើងវិញម្តងទៀតក្នុងពេលដ៏ខ្លីខាងមុខនេះទេ។

តួនាទីរបស់ CAPTCHA

អូ CAPTCHA មុខងារសុវត្ថិភាពដែលយើងទាំងអស់គ្នាស្អប់! តាមពិត CAPTCHA មិនមែនជាឧបករណ៍ការពារច្រើននោះទេ ព្រោះវាជាឧបករណ៍កំណត់អត្តសញ្ញាណ មិនថាអ្នកជាមនុស្ស ឬមនុស្សយន្តទេ (ឬស្គ្រីបស្វ័យប្រវត្តិ)។ គោលបំណងរបស់វាគឺដើម្បីជៀសវាងការបញ្ជូនទម្រង់ដោយស្វ័យប្រវត្តិ ដែលជាការពិតណាស់ អាចធ្វើបាន ត្រូវបានប្រើជាការប៉ុនប៉ងដើម្បីបំបែកសន្តិសុខ។ នៅក្នុងបរិបទនៃការកំណត់ពាក្យសម្ងាត់ឡើងវិញ CAPTCHA មានន័យថាមុខងារកំណត់ឡើងវិញមិនអាចបង្ខំឱ្យអ្នកប្រើសារឥតបានការ ឬព្យាយាមកំណត់អត្ថិភាពនៃគណនី (ដែលជាការពិត នឹងមិនអាចធ្វើទៅបានទេ ប្រសិនបើអ្នកធ្វើតាមការណែនាំនៅក្នុងផ្នែកនៅលើ ការផ្ទៀងផ្ទាត់អត្តសញ្ញាណ) ។

ជាការពិតណាស់ CAPTCHA ខ្លួនវាមិនល្អឥតខ្ចោះទេ។ មានគំរូជាច្រើនសម្រាប់កម្មវិធីរបស់ខ្លួន "ការលួច" និងការសម្រេចបាននូវអត្រាជោគជ័យគ្រប់គ្រាន់ (60-70%) ។ លើសពីនេះទៀតមានដំណោះស្រាយមួយដែលបង្ហាញនៅក្នុងការប្រកាសរបស់ខ្ញុំអំពី ការលួចចូល CAPTCHA ដោយមនុស្សស្វ័យប្រវត្តិដែលជាកន្លែងដែលអ្នកអាចបង់ប្រាក់ប្រភាគដល់មនុស្សមួយសេនដើម្បីដោះស្រាយ CAPTCHA នីមួយៗ និងសម្រេចបាននូវអត្រាជោគជ័យ 94%។ នោះគឺវាងាយរងគ្រោះ ប៉ុន្តែវា (បន្តិច) បង្កើនរបាំងសម្រាប់ការចូល។

តោះមើលឧទាហរណ៍ PayPal៖

ក្នុងករណីនេះ ដំណើរការកំណត់ឡើងវិញមិនអាចចាប់ផ្តើមបានទេ រហូតដល់ CAPTCHA ត្រូវបានដោះស្រាយ ដូច្នេះ ក្នុង​ទ្រឹ​ស្តី វាមិនអាចទៅរួចទេក្នុងការធ្វើឱ្យដំណើរការដោយស្វ័យប្រវត្តិ។ ក្នុង​ទ្រឹ​ស្តី។

ទោះយ៉ាងណាក៏ដោយ សម្រាប់កម្មវិធីគេហទំព័រភាគច្រើន វានឹងហួសកំរិត និង ពិត​ជា​ត្រឹម​ត្រូវ តំណាងឱ្យការថយចុះនៃការប្រើប្រាស់ - មនុស្សគ្រាន់តែមិនចូលចិត្ត CAPTCHA! លើសពីនេះទៀត CAPTCHA គឺជាអ្វីមួយដែលអ្នកអាចត្រឡប់ទៅរកបានយ៉ាងងាយស្រួលប្រសិនបើចាំបាច់។ ប្រសិនបើសេវាកម្មចាប់ផ្តើមរងការវាយប្រហារ (នេះគឺជាកន្លែងដែលការចូលប្រើងាយស្រួល ប៉ុន្តែនៅពេលក្រោយ) ការបន្ថែម CAPTCHA មិនអាចងាយស្រួលជាងនោះទេ។

សំណួរ និងចម្លើយសម្ងាត់

ជាមួយនឹងវិធីសាស្រ្តទាំងអស់ដែលយើងបានពិចារណា យើងអាចកំណត់ពាក្យសម្ងាត់ឡើងវិញបានដោយគ្រាន់តែចូលទៅកាន់គណនីអ៊ីមែល។ ខ្ញុំនិយាយថា "គ្រាន់តែ" ប៉ុន្តែជាការពិតណាស់ វាខុសច្បាប់ក្នុងការចូលប្រើគណនីអ៊ីមែលរបស់អ្នកផ្សេង។ គួរ ក្លាយជាដំណើរការស្មុគស្មាញ។ ទោះយ៉ាងណាក៏ដោយ វាមិនតែងតែដូច្នេះទេ។.

តាមពិតទៅ តំណភ្ជាប់ខាងលើអំពីការលួចចូល Yahoo របស់ Sarah Palin! បម្រើគោលបំណងពីរ; ទីមួយ វាបង្ហាញពីភាពងាយស្រួលក្នុងការ hack គណនីអ៊ីមែល (មួយចំនួន) ហើយទីពីរ វាបង្ហាញពីរបៀបដែលសំណួរសុវត្ថិភាពមិនល្អអាចត្រូវបានប្រើដោយចេតនាព្យាបាទ។ ប៉ុន្តែ​យើង​នឹង​ត្រឡប់​ទៅ​វា​វិញ​នៅ​ពេល​ក្រោយ។

បញ្ហាជាមួយនឹងការកំណត់ឡើងវិញនូវពាក្យសម្ងាត់ដែលមានមូលដ្ឋានលើអ៊ីមែល 100% គឺថាភាពត្រឹមត្រូវនៃគណនីសម្រាប់គេហទំព័រដែលអ្នកកំពុងព្យាយាមកំណត់ឡើងវិញបានក្លាយទៅជា 100% អាស្រ័យលើភាពត្រឹមត្រូវនៃគណនីអ៊ីមែល។ នរណាម្នាក់ដែលមានសិទ្ធិចូលប្រើអ៊ីមែលរបស់អ្នក។ មានសិទ្ធិចូលប្រើគណនីណាមួយដែលអាចកំណត់ឡើងវិញបានដោយគ្រាន់តែទទួលអ៊ីមែល. សម្រាប់គណនីបែបនេះ អ៊ីមែលគឺជា "គន្លឹះសម្រាប់ទ្វារទាំងអស់" នៃជីវិតអនឡាញរបស់អ្នក។

វិធីមួយដើម្បីកាត់បន្ថយហានិភ័យនេះគឺត្រូវអនុវត្តគំរូសំណួរ និងចម្លើយសុវត្ថិភាព។ គ្មានការសង្ស័យទេដែលអ្នកបានឃើញពួកគេរួចហើយ៖ ជ្រើសរើសសំណួរដែលមានតែអ្នកប៉ុណ្ណោះដែលអាចឆ្លើយបាន។ គួរតែ ដឹងចម្លើយ ហើយបន្ទាប់មក នៅពេលអ្នកកំណត់ពាក្យសម្ងាត់របស់អ្នកឡើងវិញ អ្នកនឹងត្រូវបានសួររកវា។ នេះបន្ថែមទំនុកចិត្តថាបុគ្គលដែលព្យាយាមកំណត់ឡើងវិញគឺពិតជាម្ចាស់គណនីមែន។

ត្រលប់ទៅ Sarah Palin៖ កំហុសគឺថាចម្លើយចំពោះសំណួរ/សំណួរសុវត្ថិភាពរបស់នាងអាចត្រូវបានរកឃើញយ៉ាងងាយស្រួល។ ជាពិសេស នៅពេលដែលអ្នកជាបុគ្គលសាធារណៈដ៏សំខាន់នោះ ព័ត៌មានអំពីនាមត្រកូលរបស់ម្តាយអ្នក ប្រវត្តិអប់រំ ឬកន្លែងដែលនរណាម្នាក់ធ្លាប់រស់នៅកាលពីអតីតកាល មិនមែនជាអាថ៌កំបាំងទាំងអស់នោះទេ។ ជាការពិត ភាគច្រើនវាអាចត្រូវបានរកឃើញដោយមនុស្សស្ទើរតែគ្រប់គ្នា។ នេះជាអ្វីដែលបានកើតឡើងចំពោះសារ៉ា៖

ហេកឃឺ David Kernell បានចូលប្រើគណនីរបស់ Palin ដោយស្វែងរកព័ត៌មានលម្អិតអំពីប្រវត្តិរបស់នាង ដូចជាសាកលវិទ្យាល័យ និងថ្ងៃខែឆ្នាំកំណើតរបស់នាង ហើយបន្ទាប់មកប្រើប្រាស់មុខងារសង្គ្រោះពាក្យសម្ងាត់ដែលភ្លេចរបស់ Yahoo!

ជាដំបូង នេះ​ជា​កំហុស​ក្នុង​ការ​រចនា​ផ្នែក​នៃ Yahoo! — ដោយ​បញ្ជាក់​សំណួរ​សាមញ្ញ​បែប​នេះ ក្រុមហ៊ុន​បាន​បំផ្លាញ​តម្លៃ​សំណួរ​សុវត្ថិភាព​យ៉ាង​សំខាន់ ហើយ​ដូច្នេះ​ការ​ការពារ​ប្រព័ន្ធ​របស់​ខ្លួន។ ជាការពិតណាស់ ការកំណត់ពាក្យសម្ងាត់ឡើងវិញសម្រាប់គណនីអ៊ីមែលគឺតែងតែពិបាកជាងមុន ដោយសារអ្នកមិនអាចបញ្ជាក់ពីភាពជាម្ចាស់ដោយការផ្ញើអ៊ីមែលទៅម្ចាស់ (ដោយមិនមានអាសយដ្ឋានទីពីរ) ប៉ុន្តែសំណាងល្អមិនមានការប្រើប្រាស់ច្រើនសម្រាប់ការបង្កើតប្រព័ន្ធបែបនេះសព្វថ្ងៃនេះទេ។

តោះត្រឡប់ទៅសំណួរសុវត្ថិភាពវិញ - មានជម្រើសមួយដើម្បីអនុញ្ញាតឱ្យអ្នកប្រើបង្កើតសំណួរផ្ទាល់ខ្លួនរបស់ពួកគេ។ បញ្ហាគឺថានេះនឹងនាំឱ្យមានសំណួរជាក់ស្តែងគួរឱ្យភ័យខ្លាច:

តើមេឃមានពណ៌អ្វី?

សំណួរដែលធ្វើឱ្យមនុស្សមិនសប្បាយចិត្ត នៅពេលដែលសំណួរសុវត្ថិភាពត្រូវបានប្រើដើម្បីកំណត់អត្តសញ្ញាណ មនុស្ស (ឧទាហរណ៍នៅក្នុងមជ្ឈមណ្ឌលហៅទូរស័ព្ទ)៖

តើខ្ញុំគេងជាមួយអ្នកណានៅបុណ្យណូអែល?

ឬសំណួរឆោតល្ងង់ដោយស្មោះត្រង់៖

តើអ្នកសរសេរ "ពាក្យសម្ងាត់" យ៉ាងដូចម្តេច?

នៅពេលដែលវាមកដល់សំណួរសុវត្ថិភាព, អ្នកប្រើប្រាស់ត្រូវតែត្រូវបានសង្គ្រោះពីខ្លួនឯង! ម្យ៉ាងវិញទៀត សំណួរសុវត្ថិភាពគួរតែត្រូវបានកំណត់ដោយគេហទំព័រខ្លួនឯង ឬប្រសើរជាងនេះ សួរ ស៊េរី សំណួរសុវត្ថិភាពដែលអ្នកប្រើប្រាស់អាចជ្រើសរើសបាន។ ហើយវាមិនងាយស្រួលទេក្នុងការជ្រើសរើស один; តាមឧត្ដមគតិ អ្នកប្រើប្រាស់គួរតែជ្រើសរើសសំណួរសុវត្ថិភាពពីរ ឬច្រើន។ នៅពេលចុះឈ្មោះគណនីដែលនឹងត្រូវបានប្រើជាបណ្តាញកំណត់អត្តសញ្ញាណទីពីរ។ ការមានសំណួរជាច្រើនបង្កើនទំនុកចិត្តក្នុងដំណើរការផ្ទៀងផ្ទាត់ ហើយថែមទាំងផ្តល់នូវសមត្ថភាពក្នុងការបន្ថែមភាពចៃដន្យ (មិនតែងតែបង្ហាញសំណួរដូចគ្នា) បូកនឹងផ្តល់នូវភាពច្របូកច្របល់បន្តិចបន្តួចក្នុងករណីដែលអ្នកប្រើប្រាស់ពិតប្រាកដភ្លេចពាក្យសម្ងាត់។

តើអ្វីទៅជាសំណួរសុវត្ថិភាពល្អ? នេះត្រូវបានជះឥទ្ធិពលដោយកត្តាជាច្រើន៖

1. គាត់ត្រូវតែជា សង្ខេប - សំណួរត្រូវតែច្បាស់លាស់ និងមិនច្បាស់លាស់។
2. ចម្លើយត្រូវតែ ជាក់លាក់ - យើងមិនត្រូវការសំណួរដែលមនុស្សម្នាក់អាចឆ្លើយខុសគ្នានោះទេ។
3. ចម្លើយដែលអាចធ្វើបានគួរតែមាន ចម្រុះ - ការ​សួរ​ពណ៌​ដែល​អ្នក​ចូល​ចិត្ត​ផ្តល់​លទ្ធផល​នូវ​ចម្លើយ​ដែល​អាច​ធ្វើ​ទៅ​បាន​មួយ​ភាគ​តូច
4. Поиск ចម្លើយត្រូវតែស្មុគស្មាញ - ប្រសិនបើចម្លើយអាចត្រូវបានរកឃើញយ៉ាងងាយស្រួល любой (ចងចាំមនុស្សដែលមានឋានៈខ្ពស់) បន្ទាប់មកគាត់អាក្រក់
5. ចម្លើយត្រូវតែ អចិន្រ្តៃយ៍ ទាន់ពេល - ប្រសិនបើអ្នកសួរភាពយន្តដែលអ្នកចូលចិត្ត នោះមួយឆ្នាំក្រោយមក ចម្លើយអាចខុសគ្នា

ដូចដែលវាកើតឡើង មានគេហទំព័រមួយដែលឧទ្ទិសដល់ការសួរសំណួរល្អៗដែលហៅថា GoodSecurityQuestions.com. សំណួរមួយចំនួនហាក់ដូចជាល្អណាស់ ខ្លះទៀតមិនឆ្លងកាត់ការសាកល្បងមួយចំនួនដែលបានពិពណ៌នាខាងលើ ជាពិសេសការធ្វើតេស្ត "ភាពងាយស្រួលនៃការស្វែងរក" ។

ខ្ញុំសូមបង្ហាញពីរបៀបដែល PayPal អនុវត្តសំណួរសុវត្ថិភាព និងជាពិសេសការខិតខំប្រឹងប្រែងដែលគេហទំព័រដាក់ចូលទៅក្នុងការផ្ទៀងផ្ទាត់។ ខាងលើយើងឃើញទំព័រដើម្បីចាប់ផ្តើមដំណើរការ (ជាមួយ CAPTCHA) ហើយនៅទីនេះយើងនឹងបង្ហាញពីអ្វីដែលកើតឡើងបន្ទាប់ពីអ្នកបញ្ចូលអាសយដ្ឋានអ៊ីមែលរបស់អ្នក និងដោះស្រាយ CAPTCHA៖

ជាលទ្ធផល អ្នកប្រើប្រាស់ទទួលបានសំបុត្រដូចខាងក្រោម៖

រហូត​មក​ដល់​ពេល​នេះ​អ្វី​គ្រប់​យ៉ាង​គឺ​ធម្មតា ប៉ុន្តែ​នេះ​ជា​អ្វី​ដែល​ត្រូវ​បាន​លាក់​នៅ​ពី​ក្រោយ URL កំណត់​ឡើង​វិញ​នេះ៖

ដូច្នេះ សំណួរ​សុវត្ថិភាព​ចូល​មក​លេង។ តាមពិត PayPal ក៏អនុញ្ញាតឱ្យអ្នកកំណត់ពាក្យសម្ងាត់របស់អ្នកឡើងវិញដោយការផ្ទៀងផ្ទាត់លេខប័ណ្ណឥណទានរបស់អ្នក ដូច្នេះមានបណ្តាញបន្ថែមដែលគេហទំព័រជាច្រើនមិនមានសិទ្ធិចូលប្រើ។ ខ្ញុំគ្រាន់តែមិនអាចប្តូរពាក្យសម្ងាត់របស់ខ្ញុំដោយមិនឆ្លើយ оба សំណួរសុវត្ថិភាព (ឬមិនស្គាល់លេខកាត) ។ ទោះបីជាមាននរណាម្នាក់លួចចូលអ៊ីមែលរបស់ខ្ញុំក៏ដោយ ពួកគេនឹងមិនអាចកំណត់ពាក្យសម្ងាត់គណនី PayPal របស់ខ្ញុំឡើងវិញបានទេ លុះត្រាតែពួកគេដឹងពីព័ត៌មានផ្ទាល់ខ្លួនបន្ថែមអំពីខ្ញុំ។ តើព័ត៌មានអ្វី? នេះគឺជាជម្រើសសំណួរសុវត្ថិភាពដែល PayPal ផ្តល់ជូន៖

សំណួររបស់សាលា និងមន្ទីរពេទ្យអាចមានភាពស្រើបស្រាលបន្តិចទាក់ទងនឹងភាពងាយស្រួលនៃការស្វែងរក ប៉ុន្តែសំណួរផ្សេងទៀតមិនអាក្រក់ពេកទេ។ ទោះយ៉ាងណាក៏ដោយ ដើម្បីបង្កើនសុវត្ថិភាព PayPal ទាមទារអត្តសញ្ញាណបន្ថែមសម្រាប់ ផ្លាស់ប្តូរ ចម្លើយចំពោះសំណួរសុវត្ថិភាព៖

PayPal គឺជាឧទាហរណ៍ជាក់ស្តែងនៃការកំណត់ពាក្យសម្ងាត់ដែលមានសុវត្ថិភាពឡើងវិញ៖ វាអនុវត្ត CAPTCHA ដើម្បីកាត់បន្ថយគ្រោះថ្នាក់នៃការវាយប្រហារដោយបង្ខំ ទាមទារសំណួរសុវត្ថិភាពចំនួនពីរ ហើយបន្ទាប់មកទាមទារប្រភេទមួយផ្សេងទៀតនៃការកំណត់អត្តសញ្ញាណខុសគ្នាទាំងស្រុងដើម្បីផ្លាស់ប្តូរចម្លើយ ហើយនេះបន្ទាប់ពីអ្នកប្រើប្រាស់ បាន​ចូល​រួច​ហើយ។ ជាការពិតណាស់ នេះពិតជាអ្វីដែលយើង រំពឹងទុក ពី PayPal; គឺជាគ្រឹះស្ថានហិរញ្ញវត្ថុដែលគ្រប់គ្រងលើចំនួនប្រាក់ដ៏ច្រើន។ នេះមិនមែនមានន័យថា រាល់ការកំណត់ពាក្យសម្ងាត់ឡើងវិញត្រូវធ្វើតាមជំហានទាំងនេះ—ភាគច្រើនវាហួសកម្រិត—ប៉ុន្តែវាជាឧទាហរណ៍ដ៏ល្អសម្រាប់ករណីដែលសុវត្ថិភាពគឺជាអាជីវកម្មធ្ងន់ធ្ងរ។

ភាពងាយស្រួលនៃប្រព័ន្ធសំណួរសុវត្ថិភាពគឺថា ប្រសិនបើអ្នកមិនបានអនុវត្តវាភ្លាមៗទេ អ្នកអាចបន្ថែមវានៅពេលក្រោយ ប្រសិនបើកម្រិតនៃការការពារធនធានទាមទារវា។ ឧទាហរណ៍ដ៏ល្អមួយគឺ Apple ដែលទើបតែអនុវត្តយន្តការនេះនាពេលថ្មីៗនេះ [អត្ថបទសរសេរក្នុងឆ្នាំ ២០១២]. នៅពេលដែលខ្ញុំចាប់ផ្តើមអាប់ដេតកម្មវិធីនៅលើ iPad របស់ខ្ញុំ ខ្ញុំបានឃើញសំណើដូចខាងក្រោម៖

បន្ទាប់មកខ្ញុំបានឃើញអេក្រង់មួយ ដែលខ្ញុំអាចជ្រើសរើសសំណួរ និងចម្លើយសុវត្ថិភាពជាច្រើនគូ ក៏ដូចជាអាសយដ្ឋានអ៊ីមែលសង្គ្រោះ៖

សម្រាប់ PayPal សំណួរត្រូវបានជ្រើសរើសជាមុន ហើយមួយចំនួននៃពួកគេពិតជាល្អណាស់៖

គូសំណួរ/ចម្លើយទាំងបីនីមួយៗតំណាងឱ្យសំណុំសំណួរផ្សេងៗដែលអាចកើតមាន ដូច្នេះមានវិធីជាច្រើនក្នុងការកំណត់គណនីមួយ។

ទិដ្ឋភាពមួយទៀតដែលត្រូវពិចារណាទាក់ទងនឹងការឆ្លើយសំណួរសុវត្ថិភាពរបស់អ្នកគឺការផ្ទុក។ ការមានមូលដ្ឋានទិន្នន័យអត្ថបទធម្មតានៅក្នុងមូលដ្ឋានទិន្នន័យបង្កការគំរាមកំហែងស្ទើរតែដូចគ្នាទៅនឹងពាក្យសម្ងាត់ ពោលគឺការលាតត្រដាងមូលដ្ឋានទិន្នន័យភ្លាមៗបង្ហាញពីតម្លៃ ហើយមិនត្រឹមតែធ្វើឱ្យកម្មវិធីប្រឈមនឹងហានិភ័យប៉ុណ្ណោះទេ ប៉ុន្តែមានសក្តានុពលកម្មវិធីផ្សេងគ្នាទាំងស្រុងដោយប្រើសំណួរសុវត្ថិភាពដូចគ្នា (នៅទីនោះម្តងទៀត សំណួរ acai berry) ជម្រើសមួយគឺការ hashing ប្រកបដោយសុវត្ថិភាព (ក្បួនដោះស្រាយខ្លាំង និងអំបិលចៃដន្យសម្ងាត់) ប៉ុន្តែមិនដូចករណីផ្ទុកពាក្យសម្ងាត់ភាគច្រើនទេ វាអាចមានហេតុផលដ៏ល្អសម្រាប់ការឆ្លើយតបដែលអាចមើលឃើញជាអត្ថបទធម្មតា។ សេណារីយ៉ូធម្មតាគឺការផ្ទៀងផ្ទាត់អត្តសញ្ញាណដោយប្រតិបត្តិករទូរស័ព្ទផ្ទាល់។ ជាការពិតណាស់ ការ hashing ក៏អាចអនុវត្តបានផងដែរក្នុងករណីនេះ (ប្រតិបត្តិករអាចបញ្ចូលការឆ្លើយតបដែលដាក់ឈ្មោះដោយអតិថិជន) ប៉ុន្តែក្នុងករណីដ៏អាក្រក់បំផុត ការឆ្លើយតបសម្ងាត់ត្រូវតែស្ថិតនៅកម្រិតមួយចំនួននៃការផ្ទុកគ្រីប ទោះបីជាវាគ្រាន់តែជាការអ៊ិនគ្រីបស៊ីមេទ្រីក៏ដោយ។ . សង្ខេប៖ ចាត់ទុកអាថ៌កំបាំងដូចអាថ៌កំបាំង!

ទិដ្ឋភាពចុងក្រោយមួយនៃសំណួរ និងចម្លើយសុវត្ថិភាពគឺថា ពួកគេងាយរងគ្រោះជាងទៅនឹងវិស្វកម្មសង្គម។ ការព្យាយាមទាញយកពាក្យសម្ងាត់ដោយផ្ទាល់ទៅកាន់គណនីរបស់នរណាម្នាក់គឺជារឿងមួយ ប៉ុន្តែការចាប់ផ្តើមការសន្ទនាអំពីការបង្កើតរបស់វា (សំណួរសុវត្ថិភាពពេញនិយម) គឺខុសគ្នាទាំងស្រុង។ ជាការពិត អ្នកអាចប្រាស្រ័យទាក់ទងយ៉ាងល្អជាមួយនរណាម្នាក់អំពីទិដ្ឋភាពជាច្រើននៃជីវិតរបស់ពួកគេ ដែលអាចចោទជាសំណួរសម្ងាត់ដោយមិនធ្វើឱ្យមានការសង្ស័យ។ ជាការពិតណាស់ ចំណុចសំខាន់នៃសំណួរសុវត្ថិភាព គឺវាទាក់ទងនឹងបទពិសោធន៍ជីវិតរបស់នរណាម្នាក់ ដូច្នេះហើយវាជាការចងចាំ ហើយនោះជាកន្លែងដែលបញ្ហាស្ថិតនៅ - មនុស្សចូលចិត្តនិយាយអំពីបទពិសោធន៍ជីវិតរបស់ពួកគេ! មានតិចតួចទេដែលអ្នកអាចធ្វើអំពីបញ្ហានេះបាន លុះត្រាតែអ្នកជ្រើសរើសជម្រើសសំណួរសុវត្ថិភាពបែបនេះ ទើបមាន តិច ប្រហែលជាត្រូវបានដកចេញដោយវិស្វកម្មសង្គម។

[នៅ​មាន​ជា​បន្ត​ទៀត។]

អំពីសិទ្ធិផ្សព្វផ្សាយ

វីឌីស៊ីណា ផ្តល់ជូនដែលអាចទុកចិត្តបាន។ ម៉ាស៊ីនមេជាមួយនឹងការទូទាត់ប្រចាំថ្ងៃម៉ាស៊ីនមេនីមួយៗត្រូវបានភ្ជាប់ទៅបណ្តាញអ៊ីនធឺណែត 500 មេហ្គាប៊ីត ហើយត្រូវបានការពារពីការវាយប្រហារដោយ DDoS ដោយឥតគិតថ្លៃ!

ប្រភព: www.habr.com