Alles wat Dir jeemools wësse wollt iwwer sécher Passwuert zrécksetzen. Deel 1

Ech hat viru kuerzem Zäit nach eng Kéier nozedenken wéi eng sécher Passwuert zréckgesat Feature soll funktionnéieren, fir d'éischt wann ech dës Funktionalitéit erstallt hunn ASafaWeb, an dann wann hien eng aner Persoun gehollef eppes ähnlech ze maachen. Am zweete Fall wollt ech him e Link op eng kanonesch Ressource ginn mat all Detailer wéi Dir d'Reset-Funktioun sécher ëmsetzt. De Problem ass awer datt esou eng Ressource net gëtt, op d'mannst net eng déi alles beschreift wat mir wichteg schéngt. Also hunn ech decidéiert et selwer ze schreiwen.

Dir gesitt, d'Welt vu vergiesse Passwierder ass tatsächlech zimmlech mysteriéis. Et gi vill verschidde, komplett akzeptabel Standpunkter a vill ganz geféierlech. D'Chancen sinn datt Dir jidderee vun hinnen oft als Endbenotzer begéint hutt; also probéieren ech dës Beispiller ze benotzen fir ze weisen wien et richteg mécht, wien net, a wat Dir musst konzentréieren fir d'Feature richteg an Ärer App ze kréien.

Passwuertlagerung: Hashing, Verschlësselung an (gasp!) Einfach Text

Mir kënnen net diskutéieren wat mat vergiesse Passwierder ze maachen ier mir diskutéieren wéi se ze späicheren. Passwierder ginn an der Datebank an enger vun dräi Haaptarten gespäichert:

1. Einfach Text. Et gëtt eng Passwuert Kolonn, déi an Einfache Text Form gespäichert ass.
2. Verschlësselte. Typesch benotzt symmetresch Verschlësselung (e Schlëssel gëtt souwuel fir d'Verschlësselung an d'Entschlësselung benotzt), an déi verschlësselte Passwierder ginn och an der selwechter Kolonn gespäichert.
3. Hascht. One-Manéier Prozess (Passwuert kann hashed ginn, mä kann net dehashed ginn); Passwuert, Ech géif gären hoffen, gefollegt vun engem Salz, a jidderee steet an senger eegener Kolonn.

Loosst eis direkt op déi einfachst Fro kommen: Späichert ni Passwierder am Kloertext! Ni. Eng eenzeg Schwachstelle fir Injections, ee suergfälteg Backup, oder ee vun Dosende vun aneren einfache Feeler - an dat ass et, gameover, all Är Passwierder - dat ass, sorry, Passwierder vun all Äre Clienten wäert Public Domain ginn. Natierlech géif dat eng grouss Wahrscheinlechkeet bedeiten all hir Passwierder vun all hire Konten an anere Systemer. An et wäert Är Schold sinn.

Verschlësselung ass besser, awer huet seng Schwächen. De Problem mat Verschlësselung ass Entschlësselung; mir kënnen dës verréckt ausgesinn Chifferen huelen an se zréck an Einfachen Text konvertéieren, a wann dat passéiert si mir zréck an déi mënschlech liesbar Passwuert Situatioun. Wéi geschitt dat? E klenge Feeler kënnt an de Code deen d'Passwuert entschlësselt, sou datt et ëffentlech verfügbar ass - dëst ass ee Wee. Hacker kréien Zougang zu der Maschinn op där verschlësselte Donnéeën gespäichert sinn - dat ass déi zweet Method. Eng aner Manéier, erëm, ass d'Datebankbackup ze klauen an een kritt och de Verschlësselungsschlëssel, deen dacks ganz onsécher gespäichert ass.

An dëst bréngt eis zum Hashing. D'Iddi hannert hashing ass, datt et eent-Manéier ass; deen eenzege Wee fir d'Benotzer aginn Passwuert mat senger hashed Versioun ze vergläichen ass den Input ze hashen an ze vergläichen. Fir Attacke vun Tools wéi Regenbogentabellen ze vermeiden, salze mir de Prozess mat Zoufall (liest meng posten iwwer kryptographesch Späichere). Schlussendlech, wa richteg implementéiert, kënne mir zouversiichtlech sinn datt hashed Passwierder ni méi einfach Text ginn (ech wäert iwwer d'Virdeeler vun verschiddenen Hashing Algorithmen an engem anere Post schwätzen).

E séieren Argument iwwer hashing vs. Dir sollt dat ni wëllen, op d'mannst an enger Standard Websäit Situatioun. Wann Dir dëst braucht, da maacht Dir wahrscheinlech eppes falsch!

Opgepasst weg!

Ënnert dem Text vum Post ass en Deel vun engem Screenshot vun der pornographescher Websäit AlotPorn. Et ass ordentlech ofgeschnidden sou datt et näischt ass wat Dir net op der Plage gesäit, awer wann et nach ëmmer méiglech ass fir Problemer ze verursaachen, scroll net erof.

Ëmmer Äert Passwuert zrécksetzen ni erënneren him net

Hutt Dir jeemools gefrot fir eng Funktioun ze kreéieren Erënnerungen Passwuert? Maacht e Schrëtt zréck an denkt iwwer dës Ufro ëmgekéiert: Firwat ass dës "Erënnerung" néideg? Well de Benotzer d'Passwuert vergiess huet. Wat wëlle mir wierklech maachen? Hëllef him erëm aloggen.

Ech mierken datt d'Wuert "Erënnerung" (dacks) an engem sproochleche Sënn benotzt gëtt, awer wat mir wierklech versichen ze maachen ass hëlleft dem Benotzer sécher erëm online ze sinn. Well mir Sécherheet brauchen, ginn et zwee Grënn firwat eng Erënnerung (dh dem Benotzer säi Passwuert schécken) net passend ass:

1. E-Mail ass en onséchere Kanal. Just wéi mir näischt sensibels iwwer HTTP géife schécken (mir géifen HTTPS benotzen), sollte mir näischt sensibels iwwer E-Mail schécken well seng Transportschicht onsécher ass. Tatsächlech ass dëst vill méi schlëmm wéi einfach Informatioun iwwer en onsécheren Transportprotokoll ze schécken, well Mail gëtt dacks op engem Späicherapparat gespäichert, accessibel fir Systemadministratoren, weidergeleet a verdeelt, zougänglech fir Malware, etc. Onverschlësselte E-Mail ass en extrem onséchere Kanal.
2. Dir sollt souwisou keen Zougang zum Passwuert hunn. Liest d'virdrun Sektioun iwwer d'Späichere nach eng Kéier - Dir sollt en Hash vum Passwuert hunn (mat engem gudde staarke Salz), dat heescht datt Dir op kee Fall d'Passwuert extrahéiere sollt an et per Mail schécken.

Loosst mech de Problem mat engem Beispill weisen usoutdoor.com: Hei ass eng typesch Login Säit:

Natierlech ass den éischte Problem datt d'Login Säit net iwwer HTTPS lued, awer de Site freet Iech och e Passwuert ze schécken ("Passwuert schécken"). Dëst kann e Beispill vun der sproochlecher Notzung vum uewe genannte Begrëff sinn, also loosst eis et e Schrëtt weider huelen a kucken wat geschitt:

Et gesäit leider net vill besser aus; an eng E-Mail bestätegt datt et e Problem ass:

Dëst seet eis zwee wichteg Aspekter vun usoutdoor.com:

1. De Site hash keng Passwierder. Am beschten si se verschlësselt, awer et ass wahrscheinlech datt se am Kloertext gespäichert sinn; Mir gesinn keng Beweiser fir de Géigendeel.
2. De Site schéckt e laangfristeg Passwuert (mir kënnen zréckgoen an et ëmmer erëm benotzen) iwwer en net geséchert Kanal.

Mat dësem aus dem Wee, musse mir kucken ob de Resetprozess op eng sécher Manéier gemaach gëtt. Den éischte Schrëtt fir dëst ze maachen ass sécherzestellen datt den Ufroer d'Recht huet de Reset auszeféieren. An anere Wierder, ier dëst brauche mir eng Identitéitskontroll; loosst eis kucken wat geschitt wann eng Identitéit verifizéiert gëtt ouni éischt z'iwwerpréiwen datt den Ufroer tatsächlech de Kontbesëtzer ass.

Oplëschtung vun Benotzernimm an hiren Impakt op Anonymitéit

Dëse Problem ass am beschten visuell illustréiert. Problem:

Gesitt Dir? Opgepasst op de Message "Et gëtt kee Benotzer mat dëser E-Mailadress registréiert." De Problem entsteet selbstverständlech wann esou e Site bestätegt Disponibilitéit Benotzer registréiert mat esou Email Adress. Bingo - Dir hutt just Äre Mann / Chef / Noper säi Porno-Fetish entdeckt!

Natierlech ass Porno e zimlech ikonescht Beispill vun der Wichtegkeet vun der Privatsphär, awer d'Gefore fir en Individuum mat enger spezifescher Websäit ze associéieren si vill méi breet wéi déi potenziell schweier Situatioun hei uewen beschriwwen. Eng Gefor ass sozial Ingenieur; Wann den Ugräifer eng Persoun mam Service Match kann, da wäert hien Informatiounen hunn, datt hien ufänken kann ze benotzen. Zum Beispill kann hien eng Persoun kontaktéieren, déi als Vertrieder vun enger Websäit poséiert an zousätzlech Informatioun ufroen an engem Versuch ze engagéieren Spuer phishing.

Esou Praktiken erhéijen och d'Gefor vun der "Benotzernumm Opzielung", woubäi een d'Existenz vun enger ganzer Sammlung vu Benotzernimm oder E-Mailadressen op enger Websäit verifizéiere kann, andeems een einfach Gruppenufroen ausféiert an d'Äntwerten op si ënnersicht. Hutt Dir eng Lëscht vun E-Mailadressen vun all Mataarbechter an e puer Minutten fir e Skript ze schreiwen? Da gesitt Dir wat de Problem ass!

Wat ass d'Alternativ? Tatsächlech ass et ganz einfach, an ass wonnerbar ëmgesat an Entropay:

Hei verréid Entropay absolut näischt iwwer d'Existenz vun enger E-Mailadress a sengem System un een deen dës Adress net besëtzt. Wann s du eegen dës Adress an et gëtt et net am System, da kritt Dir eng E-Mail wéi dës:

Natierlech, kann et akzeptabel Situatiounen ginn, an deenen een denktdatt Dir op der Websäit registréiert hutt. mee dat ass net de Fall, oder ech hunn et vun enger anerer E-Mailadress gemaach. D'Beispill hei uewen behandelt béid Situatiounen gutt. Natierlech, wann d'Adress entsprécht, kritt Dir eng E-Mail déi et méi einfach mécht Äert Passwuert zréckzesetzen.

D'Subtilitéit vun der Léisung gewielt vun Entropay ass datt d'Identifikatiounsverifizéierung no duerchgefouert gëtt E - Mail virun all online Verifikatioun. E puer Site froen d'Benotzer fir d'Äntwert op eng Sécherheetsfro (méi doriwwer hei ënnen) ze wéi de Reset kann ufänken; awer, de Problem domat ass, datt Dir d'Fro äntweren muss iwwerdeems eng Form vun Identifikatioun (E-Mail oder Benotzernumm), déi dann bal onméiglech mécht intuitiv ze äntweren ouni d'Existenz vun der anonyme Benotzer Kont opzeweisen.

Mat dëser Approche gëtt et kleng reduzéiert Benotzerfrëndlechkeet well wann Dir probéiert en net existente Kont zréckzetrieden, gëtt et keen direkten Feedback. Natierlech ass dat de ganze Punkt fir eng E-Mail ze schécken, awer aus der Perspektiv vun engem echte Endverbraucher, wa se déi falsch Adress aginn, wësse se nëmmen fir d'éischte Kéier wann se d'E-Mail kréien. Dëst kann e puer Spannungen vu sengem Deel verursaachen, awer dëst ass e klenge Präis fir sou e rare Prozess ze bezuelen.

Eng aner Notiz, liicht aus dem Thema: Login-Assistenzfunktiounen déi verroden ob e Benotzernumm oder E-Mailadress richteg ass, hunn dee selwechte Problem. Reagéiert ëmmer op de Benotzer mat engem Message "Dir Benotzernumm a Passwuert Kombinatioun ass ongëlteg" anstatt explizit d'Existenz vun den Umeldungsinformatiounen ze bestätegen (zum Beispill "de Benotzernumm ass richteg, awer d'Passwuert ass falsch").

Schécken vun engem Reset-Passwuert vs Schécken vun der Reset-URL

Dat nächst Konzept dat mir musse diskutéieren ass wéi Dir Äert Passwuert zrécksetzt. Et ginn zwou populär Léisungen:

1. En neit Passwuert um Server generéieren an et per E-Mail schécken
2. Schéckt eng E-Mail mat enger eenzegaarteger URL fir de Resetprozess méi einfach ze maachen

Trotz dem vill Guiden, den éischte Punkt soll ni benotzt ginn. De Problem mat dësem ass datt et heescht datt et ass gespäichert Passwuert, op déi Dir zu all Moment zréck kënnt an erëm benotzen; et gouf iwwer eng onsécher Kanal geschéckt a bleift an Ärer Inbox. D'Chancen sinn datt d'Inboxen iwwer mobilen Apparater an den E-Mail Client synchroniséiert sinn, plus si kënne fir eng ganz laang Zäit online am Web E-Mail Service gelagert ginn. De Punkt ass dat eng Mailbox kann net als zouverlässeg Mëttel fir laangfristeg Stockage considéréiert ginn.

Awer nieft dësem, huet den éischte Punkt en anere grousse Problem - et vereinfacht sou vill wéi méiglech e Kont mat béiswëllegen Absicht blockéieren. Wann ech d'E-Mailadress vun engem kennen, deen e Kont op enger Websäit besëtzt, da kann ech se zu all Moment blockéieren andeems se einfach säi Passwuert zrécksetzen; Dëst ass en Denial of Service Attack op engem Sëlwerplack zerwéiert! Dofir sollt de Reset nëmmen no der erfollegräicher Verifizéierung vun de Rechter vum Ufro gemaach ginn.

Wa mir iwwer eng zréckgesat URL schwätzen, mengen mir d'Adress vun enger Websäit dat ass eenzegaarteg zu dësem besonnesche Fall vum Resetprozess. Natierlech sollt et zoufälleg sinn, et sollt net einfach sinn ze roden, an et sollt keng extern Linken op de Kont enthalen, déi et méi einfach maachen ze resetéieren. Zum Beispill däerf d'URL zréckgesat ginn net einfach e Wee wéi "Reset/?username=JohnSmith".

Mir wëllen en eenzegaartegen Token erstellen deen als zréckgesat URL geschéckt ka ginn, an dann mat dem Serverrekord vum Benotzerkont passend ass, sou datt de Kontbesëtzer tatsächlech déiselwecht Persoun ass, déi probéiert d'Passwuert zréckzesetzen. Zum Beispill, en Token kéint "3ce7854015cd38c862cb9e14a1ae552b" sinn an an enger Tabell gespäichert zesumme mat der ID vum Benotzer deen de Reset ausféiert an d'Zäit wou den Token generéiert gouf (méi hei ënnendrënner). Wann d'E-Mail geschéckt gëtt, enthält se eng URL wéi "Reset/?id=3ce7854015cd38c862cb9e14a1ae552b", a wann de Benotzer se eroflueden, freet d'Säit d'Existenz vum Token, duerno bestätegt se d'Informatioun vum Benotzer an erlaabt et z'änneren Passwuert.

Natierlech, well de Prozess hei uewen (hoffentlech) erlaabt de Benotzer en neit Passwuert ze kreéieren, musse mir suergen datt d'URL iwwer HTTPS gelueden ass. Nee, et mat enger POST Ufro iwwer HTTPS ze schécken ass net genuch, muss dës Token-URL Transportschichtsécherheet benotzen, sou datt déi nei Passwuertform net attackéiert ka ginn MITM an de Benotzer erstallt Passwuert gouf iwwer eng sécher Verbindung iwwerdroen.

Och fir d'Reset-URL musst Dir eng Token-Zäitlimit addéieren, sou datt de Reset-Prozess bannent engem gewëssen Intervall ofgeschloss ka ginn, sot bannent enger Stonn. Dëst garantéiert datt d'Zersetzungszäitfenster op e Minimum gehale gëtt, sou datt den Empfänger vun der zréckgesat URL nëmmen an där ganz klenger Fënster handele kann. Natierlech kann den Ugräifer de Reset-Prozess erëm ufänken, awer se mussen eng aner eenzegaarteg Reset-URL kréien.

Schlussendlech musse mir sécherstellen datt dëse Prozess disposabel ass. Wann de Resetprozess fäerdeg ass, muss den Token geläscht ginn, sou datt d'Reset URL net méi funktionell ass. De fréiere Punkt ass néideg fir sécherzestellen datt den Ugräifer eng ganz kleng Fënster huet, während där hien d'Reset URL manipuléiere kann. Plus, natierlech, wann de Reset erfollegräich ass, ass den Token net méi gebraucht.

E puer vun dëse Schrëtt kënnen ze iwwerflësseg schéngen, awer si stéieren net mat Benotzerfrëndlechkeet an tatsächlech d'Sécherheet verbesseren, och wann a Situatiounen, déi mir hoffen, seelen ze sinn. An 99% vun de Fäll wäert de Benotzer de Reset bannent enger ganz kuerzer Zäit aktivéieren an d'Passwuert an der nächster Zukunft net erëm zrécksetzen.

Roll vun CAPTCHA

Oh, CAPTCHA, d'Sécherheetsfunktioun déi mir all gär haassen! Tatsächlech ass CAPTCHA net sou vill e Schutzinstrument wéi et en Identifikatiounsinstrument ass - egal ob Dir eng Persoun sidd oder e Roboter (oder en automatiséierte Skript). Säin Zweck ass d'automatesch Formularemissioun ze vermeiden, déi natierlech, kann benotzt ginn als Versuch d'Sécherheet ze briechen. Am Kontext vu Passwuert zréckgesat, heescht CAPTCHA datt d'Reset-Funktioun net brute-gezwongen ass fir de Benotzer ze spam oder probéiert d'Existenz vu Konten ze bestëmmen (wat natierlech net méiglech ass wann Dir d'Berodung an der Rubrik op gefollegt hutt. Identitéit verifizéieren).

Natierlech ass de CAPTCHA selwer net perfekt; Et gi vill Virgäng fir seng Software "Hacking" a genuch Erfollegsraten z'erreechen (60-70%). Zousätzlech gëtt et eng Léisung gewisen a mengem Post iwwer CAPTCHA Hacking vun automatiséierte Leit, wou Dir Leit Fraktiounen vun engem Cent bezuelen kann fir all CAPTCHA ze léisen an e Succès Taux vun 94% erreechen. Dat ass, et ass vulnérabel, awer et (liicht) erhéicht d'Barrière fir d'Entrée.

Loosst eis e PayPal Beispill kucken:

An dësem Fall kann de Resetprozess einfach net ufänken bis de CAPTCHA geléist ass, also theoretesch et ass onméiglech de Prozess ze automatiséieren. An der Theorie.

Wéi och ëmmer, fir déi meescht Webapplikatiounen wäert dëst iwwerkill sinn an absolut richteg stellt eng Ofsenkung vun der Benotzerfrëndlechkeet duer - Leit hunn CAPTCHA einfach net gär! Zousätzlech ass CAPTCHA eppes op deem Dir einfach zréck kënnt wann néideg. Wann de Service ufänkt ënner Attack ze kommen (dëst ass wou d'Logéierung praktesch ass, awer méi iwwer dat méi spéit), da kéint e CAPTCHA derbäisetzen net méi einfach sinn.

Geheim Froen an Äntwerten

Mat all de Methoden, déi mir berücksichtegt hunn, konnte mir d'Passwuert zrécksetzen just andeems Dir Zougang zum E-Mailkonto hutt. Ech soen "just", awer natierlech ass et illegal Zougang zu engem aneren säin E-Mail Kont ze kréien. sollt e komplexe Prozess sinn. Allerdéngs et ass net ëmmer esou.

Tatsächlech ass de Link hei uewen iwwer den Hacking vum Sarah Palin sengem Yahoo! déngt zwee Zwecker; éischtens, et illustréiert wéi einfach et ass (e puer) E-Mail Konten ze hacken, an zweetens weist et wéi schlecht Sécherheetsfroe mat béiswëllegen Absicht benotzt kënne ginn. Mä mir komme méi spéit drop zréck.

De Problem mat 100% E-Mail-baséiert Passwuert zréckgesat ass datt d'Integritéit vum Kont fir de Site deen Dir versicht zréckgesat gëtt 100% ofhängeg vun der Integritéit vum E-Mail Kont. Jiddereen deen Zougang zu Ärer E-Mail huet huet Zougang zu all Kont, deen duerch einfach eng E-Mail zréckgesat ka ginn. Fir esou Konten ass E-Mail de "Schlëssel fir all Dieren" vun Ärem Online Liewen.

Ee Wee fir dëse Risiko ze reduzéieren ass e Sécherheetsfro an Äntwert Muster ëmzesetzen. Keen Zweifel hutt Dir se scho gesinn: Wielt eng Fro op déi nëmmen Dir äntweren kënnt sollt kennt d'Äntwert, an dann wann Dir Äert Passwuert zréckgesat hutt, gitt Dir gefrot. Dëst füügt d'Vertraue datt d'Persoun, déi de Reset versicht, wierklech de Kontbesëtzer ass.

Zréck op d'Sarah Palin: de Feeler war datt d'Äntwerten op hir Sécherheetsfroen/Froen einfach fonnt kënne ginn. Besonnesch wann Dir esou eng bedeitend ëffentlech Figur sidd, Informatioun iwwer Är Mamm säi Jongfranumm, d'Erzéiungsgeschicht oder wou iergendeen an der Vergaangenheet gelieft hätt ass net all dat geheimt. Tatsächlech kann de gréissten Deel vu bal jiddereen fonnt ginn. Dëst ass wat mam Sarah geschitt ass:

Den Hacker David Kernell huet Zougang zum Palin säi Kont kritt andeems hien Detailer iwwer hiren Hannergrond fonnt huet, wéi hir Universitéit a Gebuertsdatum, an duerno d'Funktionalitéit vum Yahoo!

Als éischt ass dëst en Designfehler vum Yahoo! - andeems se sou einfach Froen spezifizéieren, huet d'Firma am Fong de Wäert vun der Sécherheetsfro sabotéiert, an dofir de Schutz vu sengem System. Natierlech ass d'Passwuert fir en E-Mail Kont zrécksetzen ëmmer méi schwéier, well Dir d'Besëtzer net beweise kënnt andeems Dir eng E-Mail un de Besëtzer schéckt (ouni eng zweet Adress ze hunn), awer glécklecherweis ginn et haut net vill Utilisatioune fir sou e System ze kreéieren.

Komme mer zréck op d'Sécherheetsfroen - et gëtt eng Optioun fir de Benotzer ze erlaben hir eege Froen ze kreéieren. De Problem ass datt dëst zu schrecklech offensichtlech Froen resultéiert:

Wéi eng Faarf ass den Himmel?

Froen déi d'Leit onwuel maachen wann eng Sécherheetsfro benotzt gëtt fir z'identifizéieren Persoun (zum Beispill an engem Call Center):

Mat weem hunn ech Chrëschtdag geschlof?

Oder éierlech gesot domm Froen:

Wéi schreift Dir "Passwuert"?

Wann et ëm Sécherheetsfroe kënnt, mussen d'Benotzer vu sech selwer gerett ginn! An anere Wierder, d'Sécherheetsfro soll vum Site selwer bestëmmt ginn, oder besser nach, gefrot Serie Sécherheetsfroen aus deenen de Benotzer ka wielen. An et ass net einfach ze wielen один; Idealfall soll de Benotzer zwou oder méi Sécherheetsfroen auswielen an der Zäit vun Kont Aschreiwung, deen dann als zweeten Identifikatiounskanal benotzt gëtt. MÉI Froen ze hunn erhéicht d'Vertrauen am Verifizéierungsprozess, a bitt och d'Fäegkeet Zoufällegkeet ze addéieren (net ëmmer déiselwecht Fro ze weisen), plus bitt e bësse Redundanz am Fall wou den aktuellen Benotzer d'Passwuert vergiess huet.

Wat ass eng gutt Sécherheetsfro? Dëst gëtt vu verschiddene Faktoren beaflosst:

1. Hie muss sinn kuerz - d'Fro muss kloer an eendeiteg sinn.
2. D'Äntwert muss sinn spezifesch - mir brauche keng Fro op déi eng Persoun anescht beäntwere kann
3. Méiglech Äntwerten sollen sinn divers - d'Fro vun engem seng Liiblingsfaarf gëtt e ganz klenge Subset vu méiglechen Äntwerten
4. Поиск d'Äntwert muss komplex sinn - wann d'Äntwert einfach fonnt ka ginn iergendeen (erënnere Leit op héich Positiounen), dann ass hien schlecht
5. D'Äntwert muss sinn permanent an der Zäit - wann Dir de Liiblingsfilm vun engem freet, dann e Joer méi spéit kann d'Äntwert anescht sinn

Wéi et geschitt, gëtt et eng Websäit gewidmet fir gutt Froen ze stellen genannt GoodSecurityQuestions.com. E puer vun de Froen schéngen zimmlech gutt, anerer passéieren net e puer vun den uewe beschriwwenen Tester, besonnesch den Test "Liichtegkeet vun der Sich".

Loosst mech weisen wéi PayPal Sécherheetsfroen implementéiert a besonnesch den Effort deen de Site an d'Authentifikatioun setzt. Uewen hu mir d'Säit gesinn fir de Prozess unzefänken (mat engem CAPTCHA), an hei wäerte mir weisen wat geschitt nodeems Dir Är E-Mailadress aginn hutt an de CAPTCHA léist:

Als Resultat kritt de Benotzer de folgende Bréif:

Bis elo ass alles ganz normal, awer hei ass wat hannert dëser zréckgesat URL verstoppt ass:

Also, Sécherheetsfroe kommen an d'Spill. Tatsächlech erlaabt PayPal Iech och Äert Passwuert zréckzetrieden andeems Dir Är Kreditkaartnummer verifizéiert, sou datt et en zousätzleche Kanal gëtt op dee vill Siten keen Zougang hunn. Ech kann mäi Passwuert just net änneren ouni ze äntweren béid Sécherheet Fro (oder net d'Kaart Zuel wëssen). Och wann iergendeen meng E-Mail entfouert huet, wäerte se net fäeg sinn mäi PayPal Kont Passwuert zrécksetzen ausser wann se e bësse méi perséinlech Informatioun iwwer mech wousst. Wéi eng Informatioun? Hei sinn d'Sécherheetsfrooptioune PayPal bitt:

D'Schoul- an d'Spidolsfro kann e bëssen onsécher sinn wat d'Liichtegkeet vun der Sich ugeet, awer déi aner sinn net ze schlecht. Wéi och ëmmer, fir d'Sécherheet ze verbesseren, verlaangt PayPal zousätzlech Identifikatioun fir änneren Äntwerten op Sécherheetsfroen:

PayPal ass e zimlech utopescht Beispill vu séchere Passwuert zréckgesat: et implementéiert e CAPTCHA fir d'Gefor vu brute-force Attacken ze reduzéieren, erfuerdert zwou Sécherheetsfroen, an erfuerdert dann eng aner Aart vu komplett aner Identifikatioun just fir d'Äntwerten z'änneren - an dëst nom Benotzer huet schonn ugemellt. Natierlech, dat ass genee wat mir erwaart aus PayPal; ass eng Finanzinstitut déi mat grousse Geldbeträg beschäftegt. Dëst bedeit net datt all Passwuert zréckgesat dës Schrëtt muss verfollegen - meeschtens ass et iwwerkillt - awer et ass e gutt Beispill fir Fäll wou Sécherheet e seriöse Geschäft ass.

D'Kamoudheet vum Sécherheetsfroesystem ass datt wann Dir et net direkt ëmgesat hutt, kënnt Dir et spéider derbäisetzen wann den Niveau vum Ressourceschutz et erfuerdert. E gutt Beispill dovun ass Apple, déi dëse Mechanismus eréischt viru kuerzem ëmgesat huet [Artikel geschriwwen am Joer 2012]. Wann ech ugefaang hunn d'Applikatioun op mengem iPad ze aktualiséieren, hunn ech déi folgend Ufro gesinn:

Dunn hunn ech en Écran gesinn, wou ech e puer Pairen vu Sécherheetsfroen an Äntwerten auswielen konnt, souwéi eng Rettungs-E-Mailadress:

Wat PayPal ugeet, sinn d'Froe virausgewielt an e puer vun hinnen sinn eigentlech zimlech gutt:

Jiddereng vun den dräi Fro / Äntwert Pairen duerstellt eng aner Rei vu méigleche Froen, also et gi vill Méiglechkeeten e Kont ze konfiguréieren.

En aneren Aspekt fir ze berücksichtegen iwwer d'Äntwert op Är Sécherheetsfro ass d'Späichere. Eng Kloertext-Datebank an der Datebank ze hunn stellt bal déiselwecht Gefore wéi e Passwuert duer, nämlech datt d'Expositioun vun der Datebank direkt de Wäert verroden an net nëmmen d'Applikatioun a Gefor stellt, awer potenziell ganz aner Uwendungen déi déiselwecht Sécherheetsfroe benotzen (do nach eng Kéier) acai Berry Fro). Eng Optioun ass sécher Hashing (e staarken Algorithmus an e kryptographesch zoufälleg Salz), awer am Géigesaz zu de meeschte Passwuertspäicherfäll, kann et e gudde Grond sinn datt d'Äntwert als Kloertext sichtbar ass. En typescht Szenario ass Identitéitsverifizéierung vun engem Live Telefonoperateur. Natierlech ass Hashing och an dësem Fall uwendbar (de Bedreiwer kann einfach d'Äntwert vum Client ernannt aginn), awer am schlëmmste Fall muss déi geheim Äntwert op e gewëssen Niveau vun der kryptografescher Späichere sinn, och wann et just symmetresch Verschlësselung ass. . Zesummefaassend: behandelt Geheimnisser wéi Geheimnisser!

Ee leschten Aspekt vu Sécherheetsfroen an Äntwerten ass datt se méi vulnérabel sinn fir sozial Ingenieuren. Probéieren d'Passwuert direkt op de Kont vun engem aneren ze extrahieren ass eng Saach, awer e Gespréich iwwer seng Formation starten (eng populär Sécherheetsfro) ass komplett anescht. Tatsächlech kënnt Dir ganz gutt mat engem iwwer vill Aspekter vun hirem Liewen kommunizéieren, déi eng geheim Fro stellen ouni Mësstrauen z'erwächen. Natierlech ass de ganz Punkt vun enger Sécherheetsfro datt et op d'Liewenserfahrung vun engem bezitt, also ass et onvergiesslech, an dat ass wou de Problem läit - Leit gär iwwer hir Liewenserfarungen ze schwätzen! Et gëtt wéineg Dir iwwer dëst maachen kann, nëmmen wann Dir esou Sécherheet Fro Optiounen wielt sou datt se sinn manner kéint wahrscheinlech duerch sozial Ingenieur erausgezunn ginn.

[Fortsetzung kënnt no.]

Iwwer d'Rechter vu Reklammen

VDSina bitt zouverlässeg Serveren mat deeglech Bezuelung, all Server ass mat engem Internetkanal vu 500 Megabit verbonnen an ass gratis virun DDoS Attacken geschützt!

Source: will.com