സുരക്ഷിതമായ പാസ്‌വേഡ് പുനഃസജ്ജീകരണത്തെക്കുറിച്ച് നിങ്ങൾ എപ്പോഴെങ്കിലും അറിയാൻ ആഗ്രഹിച്ചതെല്ലാം. ഭാഗം 1

സുരക്ഷിതമായ പാസ്‌വേഡ് പുനഃസജ്ജീകരണ സവിശേഷത എങ്ങനെ പ്രവർത്തിക്കണം എന്നതിനെക്കുറിച്ച് വീണ്ടും ചിന്തിക്കാൻ എനിക്ക് ഈയിടെ സമയം ലഭിച്ചു, ആദ്യം ഞാൻ ഫംഗ്‌ഷണാലിറ്റി നിർമ്മിച്ചപ്പോൾ ASafaWeb, പിന്നെ അവൻ മറ്റൊരു വ്യക്തിക്ക് സമാനമായ എന്തെങ്കിലും ചെയ്യാൻ സഹായിച്ചപ്പോൾ. രണ്ടാമത്തെ കേസിൽ, റീസെറ്റ് ഫംഗ്ഷന്റെ സുരക്ഷിതമായ നടപ്പാക്കലിന്റെ എല്ലാ വിശദാംശങ്ങളോടും കൂടി കാനോനിക്കൽ റിസോഴ്സിലേക്ക് ഒരു ലിങ്ക് നൽകാൻ ഞാൻ ആഗ്രഹിച്ചു. എന്നിരുന്നാലും, അത്തരമൊരു വിഭവം നിലവിലില്ല എന്നതാണ് പ്രശ്നം, കുറഞ്ഞത് എനിക്ക് പ്രധാനപ്പെട്ടതായി തോന്നുന്ന എല്ലാം വിവരിക്കുന്ന ഒന്നല്ല. അതുകൊണ്ട് ഞാൻ തന്നെ എഴുതാൻ തീരുമാനിച്ചു.

മറന്നുപോയ പാസ്‌വേഡുകളുടെ ലോകം യഥാർത്ഥത്തിൽ നിഗൂഢമാണ്. വ്യത്യസ്തവും തികച്ചും സ്വീകാര്യവുമായ നിരവധി കാഴ്ചപ്പാടുകളും അപകടകരമായ നിരവധി കാഴ്ചപ്പാടുകളും ഉണ്ട്. അന്തിമ ഉപയോക്താവെന്ന നിലയിൽ നിങ്ങൾ ഓരോരുത്തരെയും പലതവണ കണ്ടുമുട്ടിയിരിക്കാൻ സാധ്യതയുണ്ട്; അതിനാൽ ആരാണ് ഇത് ശരിയായി ചെയ്യുന്നത്, ആരാണ് ചെയ്യാത്തത്, നിങ്ങളുടെ ആപ്ലിക്കേഷനിൽ ഒരു ഫീച്ചർ ശരിയായി നടപ്പിലാക്കാൻ നിങ്ങൾ എന്താണ് ശ്രദ്ധിക്കേണ്ടതെന്ന് കാണിക്കാൻ ഈ ഉദാഹരണങ്ങൾ ഉപയോഗിക്കാൻ ഞാൻ ശ്രമിക്കും.

പാസ്‌വേഡ് സംഭരണം: ഹാഷിംഗ്, എൻക്രിപ്ഷൻ കൂടാതെ (ഓ!) പ്ലെയിൻ ടെക്‌സ്‌റ്റ്

മറന്നുപോയ പാസ്‌വേഡുകൾ എങ്ങനെ സംഭരിക്കുന്നു എന്നതിനെക്കുറിച്ച് ചർച്ച ചെയ്യുന്നതിനുമുമ്പ് അവ എന്ത് ചെയ്യണമെന്ന് ചർച്ച ചെയ്യാനാവില്ല. പാസ്‌വേഡുകൾ മൂന്ന് പ്രധാന തരങ്ങളിൽ ഒന്നിൽ ഡാറ്റാബേസിൽ സംഭരിച്ചിരിക്കുന്നു:

1. പ്ലെയിൻ ടെക്സ്റ്റ്. പാസ്‌വേഡുള്ള ഒരു കോളം ഉണ്ട്, അത് പ്ലെയിൻ ടെക്‌സ്റ്റിൽ സംഭരിച്ചിരിക്കുന്നു.
2. എൻക്രിപ്റ്റ് ചെയ്തത്. സാധാരണയായി സമമിതി എൻക്രിപ്ഷൻ ഉപയോഗിക്കുന്നു (എൻക്രിപ്ഷനും ഡീക്രിപ്ഷനും ഒരു കീ ഉപയോഗിക്കുന്നു), കൂടാതെ എൻക്രിപ്റ്റ് ചെയ്ത പാസ്വേഡുകളും അതേ കോളത്തിൽ സൂക്ഷിക്കുന്നു.
3. ഹാഷ് ചെയ്തു. വൺ-വേ പ്രോസസ്സ് (പാസ്‌വേഡ് ഹാഷ് ചെയ്യാം, പക്ഷേ ഡീഹാഷ് ചെയ്യില്ല); password, പ്രതീക്ഷയോടെ, തുടർന്ന് ഒരു ഉപ്പ്, ഓരോന്നും അതിന്റേതായ കോളത്തിലാണ്.

ഏറ്റവും ലളിതമായ ചോദ്യം ഉടൻ കൈകാര്യം ചെയ്യാം: പ്ലെയിൻ ടെക്‌സ്‌റ്റിൽ ഒരിക്കലും പാസ്‌വേഡുകൾ സൂക്ഷിക്കരുത്! ഒരിക്കലും. ഒരൊറ്റ ദുർബലത കുത്തിവയ്പ്പ്, അശ്രദ്ധമായി നിർമ്മിച്ച ഒരു ബാക്കപ്പ് പകർപ്പ് അല്ലെങ്കിൽ മറ്റ് ഡസൻ കണക്കിന് ലളിതമായ തെറ്റുകളിൽ ഒന്ന് - അതാണ്, ഗെയിംഓവർ, നിങ്ങളുടെ എല്ലാ പാസ്‌വേഡുകളും - അതായത്, ക്ഷമിക്കണം, നിങ്ങളുടെ എല്ലാ ക്ലയന്റുകളുടെയും പാസ്‌വേഡുകൾ പൊതുസ്വത്തായി മാറും. തീർച്ചയായും, ഇത് ഒരു വലിയ സാധ്യതയെ അർത്ഥമാക്കും അവരുടെ എല്ലാ പാസ്‌വേഡുകളും മറ്റ് സിസ്റ്റങ്ങളിലെ അവരുടെ എല്ലാ അക്കൗണ്ടുകളിൽ നിന്നും. അത് നിങ്ങളുടെ തെറ്റായിരിക്കും.

എൻക്രിപ്ഷൻ മികച്ചതാണ്, പക്ഷേ അതിന്റെ ബലഹീനതകളുണ്ട്. എൻക്രിപ്ഷന്റെ പ്രശ്നം ഡീക്രിപ്ഷനിലാണ്; നമുക്ക് ഭ്രാന്തമായി തോന്നുന്ന ഈ സൈഫറുകൾ എടുത്ത് അവയെ പ്ലെയിൻ ടെക്‌സ്‌റ്റിലേക്ക് പരിവർത്തനം ചെയ്യാം, അത് സംഭവിക്കുമ്പോൾ, വായിക്കാനാകുന്ന പാസ്‌വേഡുകൾ ഉപയോഗിച്ച് ഞങ്ങൾ സാഹചര്യത്തിലേക്ക് മടങ്ങും. ഇത് എങ്ങനെ സംഭവിക്കുന്നു? പാസ്‌വേഡ് ഡീക്രിപ്റ്റ് ചെയ്യുന്ന കോഡിൽ ഒരു ചെറിയ പിഴവ് വന്ന് അത് പൊതുവായി ലഭ്യമാക്കുന്നു - ഇതാണ് ഒരു വഴി. എൻക്രിപ്റ്റ് ചെയ്ത ഡാറ്റ സംഭരിച്ചിരിക്കുന്ന മെഷീനിലേക്കുള്ള ആക്സസ് ഹാക്കർമാർക്ക് ലഭിക്കുന്നു - ഇത് രണ്ടാമത്തെ വഴിയാണ്. മറ്റൊരു മാർഗം, വീണ്ടും, ഡാറ്റാബേസിന്റെ ബാക്കപ്പ് മോഷ്ടിക്കുക എന്നതാണ്, കൂടാതെ മറ്റൊരാൾക്ക് എൻക്രിപ്ഷൻ കീയും ലഭിക്കുന്നു, അത് പലപ്പോഴും വളരെ സുരക്ഷിതമല്ല.

അത് നമ്മെ ഹാഷിംഗിലേക്ക് എത്തിക്കുന്നു. ഹാഷിംഗിന് പിന്നിലെ ആശയം അത് ഒരു വഴിയിലൂടെയാണ് ചെയ്യുന്നത്; ഉപയോക്താവ് നൽകിയ പാസ്‌വേഡ് അതിന്റെ ഹാഷ് ചെയ്ത പതിപ്പുമായി താരതമ്യം ചെയ്യാനുള്ള ഒരേയൊരു മാർഗ്ഗം നൽകിയ പാസ്‌വേഡ് ഹാഷ് ചെയ്ത് താരതമ്യം ചെയ്യുക എന്നതാണ്. റെയിൻബോ ടേബിളുകൾ പോലുള്ള ഉപകരണങ്ങൾ ഉപയോഗിച്ച് ആക്രമണങ്ങൾ തടയാൻ, പ്രക്രിയയിൽ ക്രമരഹിതത ചേർക്കാൻ ഞങ്ങൾ ഉപ്പ് ഉപയോഗിക്കുന്നു (പൂർണ്ണ ചിത്രത്തിനായി, എന്റെ വായിക്കുക ഒരു പോസ്റ്റ് ക്രിപ്‌റ്റോഗ്രാഫിക് സ്റ്റോറേജിനെക്കുറിച്ച്). ആത്യന്തികമായി, ശരിയായി നടപ്പിലാക്കുകയാണെങ്കിൽ, ഹാഷ് ചെയ്ത പാസ്‌വേഡുകൾ ഇനി ഒരിക്കലും പ്ലെയിൻ ടെക്‌സ്‌റ്റായി മാറില്ലെന്ന് നമുക്ക് സുരക്ഷിതമായി അനുമാനിക്കാം (വ്യത്യസ്‌ത ഹാഷിംഗ് അൽഗോരിതങ്ങളുടെ നേട്ടങ്ങളെക്കുറിച്ച് ഞാൻ മറ്റൊരു പോസ്റ്റിൽ ചർച്ച ചെയ്യും).

ഹാഷിംഗിനെയും എൻക്രിപ്ഷനെയും കുറിച്ചുള്ള ദ്രുത വാദം: പാസ്‌വേഡ് ഹാഷ് ചെയ്യുന്നതിന് പകരം നിങ്ങൾക്ക് എപ്പോഴെങ്കിലും എൻക്രിപ്റ്റ് ചെയ്യേണ്ടി വരുന്ന ഒരേയൊരു കാരണം നിങ്ങൾക്ക് പാസ്‌വേഡ് പ്ലെയിൻ ടെക്‌സ്റ്റിൽ കാണേണ്ടിവരുമ്പോൾ മാത്രമാണ് നിങ്ങൾക്കത് ഒരിക്കലും ആഗ്രഹിക്കരുത്, ഒരു സാധാരണ വെബ്സൈറ്റിന്റെ സാഹചര്യത്തിലെങ്കിലും. നിങ്ങൾക്ക് ഇത് വേണമെങ്കിൽ, മിക്കവാറും നിങ്ങൾ എന്തെങ്കിലും തെറ്റ് ചെയ്യുന്നു!

ശ്രദ്ധിക്കൂ!

പോസ്‌റ്റിന്റെ വാചകത്തിൽ അൽപ്പം കൂടി താഴെ അശ്ലീല വെബ്‌സൈറ്റായ അലോട്ട്‌പോർണിന്റെ സ്‌ക്രീൻഷോട്ടിന്റെ ഭാഗമാണ്. ഇത് ഭംഗിയായി മുറിച്ചിരിക്കുന്നു, അതിനാൽ കടൽത്തീരത്ത് കാണാൻ കഴിയാത്തതായി ഒന്നുമില്ല, പക്ഷേ അത് ഇപ്പോഴും പ്രശ്‌നങ്ങൾ സൃഷ്ടിക്കുന്നുണ്ടെങ്കിൽ, പേജ് താഴേക്ക് സ്ക്രോൾ ചെയ്യരുത്.

എല്ലായ്‌പ്പോഴും നിങ്ങളുടെ പാസ്‌വേഡ് പുനഃസജ്ജമാക്കുക ഒരിക്കലും അവനെ ഓർമ്മിപ്പിക്കരുത്

നിങ്ങളോട് എപ്പോഴെങ്കിലും ഒരു ഫംഗ്‌ഷൻ സൃഷ്‌ടിക്കാൻ ആവശ്യപ്പെട്ടിട്ടുണ്ടോ ഓർമ്മപ്പെടുത്തലുകൾ password? ഒരു പടി പിന്നോട്ട് പോയി ഈ അഭ്യർത്ഥനയെ വിപരീതമായി ചിന്തിക്കുക: എന്തുകൊണ്ടാണ് ഈ "ഓർമ്മപ്പെടുത്തൽ" ആവശ്യമായി വരുന്നത്? കാരണം ഉപയോക്താവ് പാസ്‌വേഡ് മറന്നു. നമ്മൾ ശരിക്കും എന്താണ് ചെയ്യാൻ ആഗ്രഹിക്കുന്നത്? വീണ്ടും ലോഗിൻ ചെയ്യാൻ അവനെ സഹായിക്കുക.

"ഓർമ്മപ്പെടുത്തൽ" എന്ന വാക്ക് സംഭാഷണത്തിൽ (പലപ്പോഴും) ഉപയോഗിക്കുന്നുണ്ടെന്ന് ഞാൻ മനസ്സിലാക്കുന്നു, എന്നാൽ ഞങ്ങൾ യഥാർത്ഥത്തിൽ ചെയ്യാൻ ശ്രമിക്കുന്നത് വീണ്ടും ഓൺലൈനാകാൻ ഉപയോക്താവിനെ സുരക്ഷിതമായി സഹായിക്കുക. ഞങ്ങൾക്ക് സുരക്ഷ ആവശ്യമുള്ളതിനാൽ, ഒരു ഓർമ്മപ്പെടുത്തൽ (അതായത് ഉപയോക്താവിന് അവരുടെ പാസ്‌വേഡ് അയയ്ക്കുന്നത്) ഉചിതമല്ലാത്തതിന് രണ്ട് കാരണങ്ങളുണ്ട്:

1. ഇമെയിൽ ഒരു സുരക്ഷിതമല്ലാത്ത ചാനലാണ്. ഞങ്ങൾ HTTP വഴി രഹസ്യാത്മകമായ ഒന്നും അയയ്‌ക്കാത്തതുപോലെ (ഞങ്ങൾ HTTPS ഉപയോഗിക്കും), അതിന്റെ ഗതാഗത പാളി സുരക്ഷിതമല്ലാത്തതിനാൽ ഞങ്ങൾ ഇമെയിലിലൂടെ ഒന്നും അയയ്‌ക്കരുത്. വാസ്തവത്തിൽ, ഇത് സുരക്ഷിതമല്ലാത്ത ട്രാൻസ്പോർട്ട് പ്രോട്ടോക്കോളിലൂടെ വിവരങ്ങൾ അയയ്ക്കുന്നതിനേക്കാൾ വളരെ മോശമാണ്, കാരണം മെയിൽ പലപ്പോഴും ഡ്രൈവിൽ സംഭരിക്കുന്നു, സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് ലഭ്യമാണ്, ഫോർവേഡ് ചെയ്യപ്പെടുകയും വിതരണം ചെയ്യുകയും ചെയ്യുന്നു, ക്ഷുദ്രവെയറിന് ലഭ്യമാണ്. എൻക്രിപ്റ്റ് ചെയ്യാത്ത മെയിൽ വളരെ സുരക്ഷിതമല്ലാത്ത ഒരു ചാനലാണ്.
2. എന്തായാലും നിങ്ങൾക്ക് പാസ്‌വേഡിലേക്ക് ആക്‌സസ് ഉണ്ടാകരുത്. സംഭരണത്തെക്കുറിച്ചുള്ള മുൻഭാഗം വീണ്ടും വായിക്കുക - നിങ്ങൾക്ക് പാസ്‌വേഡിന്റെ ഒരു ഹാഷ് ഉണ്ടായിരിക്കണം (നല്ല ശക്തമായ ഉപ്പ്), അതായത് പാസ്‌വേഡ് എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്‌ത് മെയിൽ ചെയ്യാൻ നിങ്ങൾക്ക് ഒരു വഴിയുമില്ല.

ഒരു ഉദാഹരണം ഉപയോഗിച്ച് ഞാൻ പ്രശ്നം പ്രകടിപ്പിക്കട്ടെ usoutdoor.com: ഒരു സാധാരണ ലോഗിൻ പേജ് ഇതാ:

വ്യക്തമായും ആദ്യത്തെ പ്രശ്നം, ലോഗിൻ പേജ് HTTPS-ൽ ലോഡ് ചെയ്യുന്നില്ല എന്നതാണ്, എന്നാൽ ഒരു പാസ്‌വേഡ് അയയ്‌ക്കാനും സൈറ്റ് വാഗ്ദാനം ചെയ്യുന്നു ("പാസ്‌വേഡ് അയയ്‌ക്കുക"). ഒരുപക്ഷേ ഇത് മുകളിൽ സൂചിപ്പിച്ച പദത്തിന്റെ സംഭാഷണ ഉപയോഗത്തിന്റെ ഒരു ഉദാഹരണമാണ്, അതിനാൽ നമുക്ക് ഇത് ഒരു പടി കൂടി മുന്നോട്ട് പോയി എന്താണ് സംഭവിക്കുന്നതെന്ന് നോക്കാം:

നിർഭാഗ്യവശാൽ, ഇത് വളരെ മികച്ചതായി തോന്നുന്നില്ല; ഒരു പ്രശ്നം ഉണ്ടെന്ന് ഇമെയിൽ സ്ഥിരീകരിക്കുന്നു:

usoutdoor.com-ന്റെ രണ്ട് പ്രധാന വശങ്ങളെക്കുറിച്ച് ഇത് നമ്മോട് പറയുന്നു:

1. സൈറ്റ് പാസ്‌വേഡുകൾ ഹാഷ് ചെയ്യുന്നില്ല. ഏറ്റവും മികച്ചത്, അവ എൻക്രിപ്റ്റ് ചെയ്തവയാണ്, പക്ഷേ അവ പ്ലെയിൻ ടെക്സ്റ്റിൽ സംഭരിച്ചിരിക്കാൻ സാധ്യതയുണ്ട്; മറിച്ചുള്ള തെളിവുകളൊന്നും ഞങ്ങൾ കാണുന്നില്ല.
2. സുരക്ഷിതമല്ലാത്ത ഒരു ചാനലിലൂടെ സൈറ്റ് ഒരു ദീർഘകാല പാസ്‌വേഡ് അയയ്‌ക്കുന്നു (നമുക്ക് തിരികെ പോയി അത് വീണ്ടും വീണ്ടും ഉപയോഗിക്കാം).

അത് ഇല്ലാതായതോടെ, പുനഃസജ്ജീകരണ പ്രക്രിയ സുരക്ഷിതമായ രീതിയിൽ പ്രവർത്തിക്കുന്നുണ്ടോയെന്ന് പരിശോധിക്കേണ്ടതുണ്ട്. റീസെറ്റ് ചെയ്യാനുള്ള അവകാശം അഭ്യർത്ഥിക്കുന്നയാൾക്ക് ഉണ്ടെന്ന് ഉറപ്പാക്കുക എന്നതാണ് ഇതിനുള്ള ആദ്യ പടി. മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, അതിനുമുമ്പ് നമുക്ക് ഒരു ഐഡന്റിറ്റി പരിശോധന ആവശ്യമാണ്; അഭ്യർത്ഥിക്കുന്നയാളാണ് അക്കൗണ്ടിന്റെ ഉടമയെന്ന് ആദ്യം സ്ഥിരീകരിക്കാതെ ഒരു ഐഡന്റിറ്റി പരിശോധിച്ചുറപ്പിക്കുമ്പോൾ എന്താണ് സംഭവിക്കുന്നതെന്ന് നമുക്ക് നോക്കാം.

ഉപയോക്തൃനാമങ്ങളുടെ എണ്ണവും അജ്ഞാതത്വത്തിൽ അതിന്റെ സ്വാധീനവും

ഈ പ്രശ്നം ദൃശ്യപരമായി ചിത്രീകരിക്കുന്നതാണ് നല്ലത്. പ്രശ്നം:

കണ്ടോ? "ഈ ഇമെയിൽ വിലാസത്തിൽ ഒരു ഉപയോക്താവും രജിസ്റ്റർ ചെയ്തിട്ടില്ല" എന്ന സന്ദേശം ശ്രദ്ധിക്കുക. സമാനമായ ഒരു സൈറ്റ് സ്ഥിരീകരിക്കുകയാണെങ്കിൽ പ്രശ്നം വ്യക്തമാകും ലഭ്യത ഉപയോക്താവിന്റെ അത്തരമൊരു ഇ-മെയിൽ വിലാസത്തിൽ രജിസ്റ്റർ ചെയ്തു. ബിങ്കോ - നിങ്ങളുടെ ഭർത്താവ്/ബോസ്/അയൽക്കാരന്റെ അശ്ലീലഭംഗി നിങ്ങൾ കണ്ടെത്തി!

തീർച്ചയായും, അശ്ലീലം സ്വകാര്യതയുടെ പ്രാധാന്യത്തിന്റെ തികച്ചും കാനോനിക്കൽ ഉദാഹരണമാണ്, എന്നാൽ ഒരു പ്രത്യേക വെബ്‌സൈറ്റുമായി പൊരുത്തപ്പെടുത്തുന്നതിന്റെ അപകടങ്ങൾ മുകളിൽ വിവരിച്ച ലജ്ജാകരമായ സാഹചര്യത്തേക്കാൾ വളരെ വലുതാണ്. ഒരു അപകടം സോഷ്യൽ എഞ്ചിനീയറിംഗ് ആണ്; ആക്രമണകാരിക്ക് ഒരു വ്യക്തിയെ ഒരു സേവനവുമായി പൊരുത്തപ്പെടുത്താൻ കഴിയുമെങ്കിൽ, അയാൾക്ക് ഉപയോഗിക്കാൻ തുടങ്ങാൻ കഴിയുന്ന വിവരങ്ങൾ ഉണ്ടായിരിക്കും. ഉദാഹരണത്തിന്, അയാൾ ഒരു വെബ്‌സൈറ്റിന്റെ പ്രതിനിധിയായി അഭിനയിക്കുന്ന ഒരു വ്യക്തിയെ ബന്ധപ്പെടുകയും അതിനുള്ള ശ്രമത്തിൽ കൂടുതൽ വിവരങ്ങൾ അഭ്യർത്ഥിക്കുകയും ചെയ്യാം സ്പിയർഫിഷിംഗ്.

അത്തരം സമ്പ്രദായങ്ങൾ "ഉപയോക്തൃനാമം എണ്ണൽ" എന്ന അപകടസാധ്യത ഉയർത്തുന്നു, അതിൽ ലളിതമായ ബൾക്ക് ചോദ്യങ്ങളിലൂടെയും അവയ്ക്കുള്ള പ്രതികരണങ്ങൾ പരിശോധിക്കുന്നതിലൂടെയും ഒരു വെബ്‌സൈറ്റിലെ ഉപയോക്തൃനാമങ്ങളുടെയോ ഇമെയിൽ വിലാസങ്ങളുടെയോ ഒരു മുഴുവൻ ശേഖരത്തിന്റെ അസ്തിത്വവും പരിശോധിക്കാൻ സാധിക്കും. എല്ലാ ജീവനക്കാരുടെയും ഇമെയിൽ വിലാസങ്ങളുടെയും ഒരു സ്ക്രിപ്റ്റ് എഴുതാൻ കുറച്ച് മിനിറ്റുകളുടെയും ഒരു ലിസ്റ്റ് നിങ്ങളുടെ പക്കലുണ്ടോ? അപ്പോൾ നോക്കൂ എന്താണ് പ്രശ്നം എന്ന്!

എന്താണ് ബദൽ? വാസ്തവത്തിൽ, ഇത് വളരെ ലളിതവും ശ്രദ്ധേയമായി നടപ്പിലാക്കിയതുമാണ് Entropay:

ഇവിടെ, Entropay അതിന്റെ സിസ്റ്റത്തിൽ ഒരു ഇമെയിൽ വിലാസത്തിന്റെ നിലനിൽപ്പിനെക്കുറിച്ച് ഒന്നും വെളിപ്പെടുത്തുന്നില്ല. ഈ വിലാസം സ്വന്തമല്ലാത്ത ഒരാൾക്ക്. നിങ്ങൾ എങ്കിൽ സ്വന്തം വിലാസം കൂടാതെ അത് സിസ്റ്റത്തിൽ നിലവിലില്ല, നിങ്ങൾക്ക് ഇതുപോലുള്ള ഒരു ഇമെയിൽ ലഭിക്കും:

തീർച്ചയായും, ഒരാൾക്ക് സ്വീകാര്യമായ സാഹചര്യങ്ങളുണ്ട് ചിന്തിക്കുന്നുഅത് വെബ്സൈറ്റിൽ രജിസ്റ്റർ ചെയ്തു. എന്നാൽ ഇത് അങ്ങനെയല്ല, അല്ലെങ്കിൽ മറ്റൊരു മെയിൽ വിലാസത്തിൽ നിന്നാണ് ഇത് ചെയ്തത്. മുകളിലുള്ള ഉദാഹരണം രണ്ട് സാഹചര്യങ്ങളെയും വിജയകരമായി കൈകാര്യം ചെയ്യുന്നു. വ്യക്തമായും, വിലാസം പൊരുത്തപ്പെടുന്നുവെങ്കിൽ, നിങ്ങളുടെ പാസ്‌വേഡ് പുനഃസജ്ജമാക്കുന്നത് എളുപ്പമാക്കുന്ന ഒരു ഇമെയിൽ നിങ്ങൾക്ക് ലഭിക്കും.

എൻട്രോപേ തിരഞ്ഞെടുത്ത പരിഹാരത്തിന്റെ സൂക്ഷ്മത തിരിച്ചറിയൽ പരിശോധന നടത്തുന്നത് ഇ-മെയിൽ ഏതെങ്കിലും ഓൺലൈൻ പരിശോധനയ്ക്ക് മുമ്പ്. ചില സൈറ്റുകൾ ഒരു സുരക്ഷാ ചോദ്യത്തിനുള്ള ഉത്തരം ഉപയോക്താക്കളോട് ആവശ്യപ്പെടുന്നു (ഇതിൽ കൂടുതൽ താഴെ) ഇതിനായി പുനഃസജ്ജീകരണം എങ്ങനെ ആരംഭിക്കാം; എന്നിരുന്നാലും, ഒരു അജ്ഞാത ഉപയോക്തൃ അക്കൗണ്ടിന്റെ അസ്തിത്വം വെളിപ്പെടുത്താതെ അവബോധപൂർവ്വം ഉത്തരം നൽകുന്നത് അസാധ്യമാക്കുന്ന ഏതെങ്കിലും തരത്തിലുള്ള ഐഡന്റിഫിക്കേഷൻ (ഇമെയിൽ അല്ലെങ്കിൽ ഉപയോക്തൃനാമം) നൽകുമ്പോൾ നിങ്ങൾ ചോദ്യത്തിന് ഉത്തരം നൽകണം എന്നതാണ് ഇതിലെ പ്രശ്നം.

ഈ സമീപനത്തിലൂടെ, അവിടെ ചെറിയ ഉപയോഗക്ഷമത കുറയുന്നു, കാരണം നിലവിലില്ലാത്ത ഒരു അക്കൗണ്ട് പുനഃസജ്ജമാക്കാൻ ശ്രമിച്ചാൽ, തൽക്ഷണ ഫീഡ്‌ബാക്ക് ഉണ്ടാകില്ല. തീർച്ചയായും, ഇത് ഒരു ഇമെയിൽ അയയ്‌ക്കുന്നതിന്റെ മുഴുവൻ പോയിന്റാണ്, എന്നാൽ യഥാർത്ഥ അന്തിമ ഉപയോക്താവിന്റെ കാഴ്ചപ്പാടിൽ, തെറ്റായ വിലാസം നൽകിയാൽ, കത്ത് ലഭിക്കുമ്പോൾ മാത്രമേ അയാൾ അതിനെക്കുറിച്ച് അറിയുകയുള്ളൂ. ഇത് അദ്ദേഹത്തിന്റെ ഭാഗത്ത് ചില പിരിമുറുക്കങ്ങൾക്ക് കാരണമാകും, എന്നാൽ ഇത്തരമൊരു അപൂർവ പ്രക്രിയയ്ക്ക് ഇത് ഒരു ചെറിയ വിലയാണ്.

മറ്റൊരു ചെറിയ വിഷയമല്ലാത്ത കുറിപ്പ്: ശരിയായ ഉപയോക്തൃനാമമോ ഇമെയിൽ വിലാസമോ വെളിപ്പെടുത്തുന്ന ലോഗിൻ അസിസ്റ്റ് ഫംഗ്‌ഷനുകൾക്ക് സമാന പ്രശ്‌നമുണ്ട്. ഐഡന്റിറ്റി വിവരങ്ങളുടെ അസ്തിത്വം വ്യക്തമായി സ്ഥിരീകരിക്കുന്നതിനുപകരം "നിങ്ങളുടെ ഉപയോക്തൃനാമവും പാസ്‌വേഡ് കോമ്പിനേഷനും അസാധുവാണ്" എന്ന സന്ദേശം ഉപയോഗിച്ച് ഉപയോക്താവിനോട് എപ്പോഴും പ്രതികരിക്കുക (ഉദാഹരണത്തിന്, "ഉപയോക്തൃനാമം ശരിയാണ്, പക്ഷേ പാസ്‌വേഡ് തെറ്റാണ്").

ഒരു റീസെറ്റ് പാസ്‌വേഡ് അയയ്‌ക്കുന്നു vs ഒരു റീസെറ്റ് URL അയയ്‌ക്കുന്നു

നമ്മൾ ചർച്ച ചെയ്യേണ്ട അടുത്ത ആശയം പാസ്‌വേഡ് റീസെറ്റ് രീതിയുമായി ബന്ധപ്പെട്ടതാണ്. രണ്ട് ജനപ്രിയ പരിഹാരങ്ങളുണ്ട്:

1. സെർവറിൽ ഒരു പുതിയ പാസ്‌വേഡ് സൃഷ്ടിച്ച് ഇമെയിൽ വഴി അയയ്ക്കുന്നു
2. പുനഃസജ്ജമാക്കൽ പ്രക്രിയ ലളിതമാക്കാൻ ഒരു അദ്വിതീയ URL ഉള്ള ഒരു ഇമെയിൽ അയയ്ക്കുന്നു

എങ്കിലും നിരവധി ഗൈഡുകൾ, ആദ്യത്തെ പോയിന്റ് ഒരിക്കലും ഉപയോഗിക്കരുത്. ഉള്ളത് എന്നർത്ഥം എന്നതാണ് അവന്റെ പ്രശ്നം സംഭരിച്ച രഹസ്യവാക്ക്, നിങ്ങൾക്ക് എപ്പോൾ വേണമെങ്കിലും മടങ്ങാനും ഉപയോഗിക്കാനും കഴിയും; ഇത് ഒരു സുരക്ഷിതമല്ലാത്ത ചാനലിലൂടെ സംപ്രേക്ഷണം ചെയ്യപ്പെടുകയും നിങ്ങളുടെ ഇൻബോക്സിൽ തുടരുകയും ചെയ്യുന്നു. മൊബൈൽ ഉപകരണങ്ങളുമായും ഇമെയിൽ ക്ലയന്റുമായും ഇൻബോക്സുകൾ സമന്വയിപ്പിക്കാനുള്ള അവസരമുണ്ട്, കൂടാതെ അവ വളരെക്കാലം വെബ് അധിഷ്ഠിത ഇമെയിൽ സേവനത്തിൽ ഓൺലൈനിൽ സൂക്ഷിക്കാൻ കഴിയും. കാര്യം അതാണ് ദീർഘകാല സംഭരണത്തിനുള്ള വിശ്വസനീയമായ മാർഗമായി മെയിൽബോക്‌സ് കണക്കാക്കാനാവില്ല.

എന്നാൽ ഇത് കൂടാതെ, ആദ്യ ഖണ്ഡികയ്ക്ക് മറ്റൊരു ഗുരുതരമായ പ്രശ്നമുണ്ട് - അത് കഴിയുന്നത്ര ലളിതമാക്കുന്നു ദുരുദ്ദേശ്യത്തോടെ അക്കൗണ്ട് തടയൽ. ഒരു വെബ്‌സൈറ്റിൽ അക്കൗണ്ട് ഉള്ള ഒരാളുടെ ഇമെയിൽ വിലാസം എനിക്കറിയാമെങ്കിൽ, അവന്റെ പാസ്‌വേഡ് പുനഃക്രമീകരിച്ചുകൊണ്ട് എനിക്ക് എപ്പോൾ വേണമെങ്കിലും അവനെ ബ്ലോക്ക് ചെയ്യാം; ഇത് സേവന നിഷേധമാണ് ഒരു വെള്ളി താലത്തിൽ ആക്രമണം! അതുകൊണ്ടാണ് റീസെറ്റ് അവകാശങ്ങൾക്കായി അഭ്യർത്ഥിക്കുന്നയാളുമായി ഒരു വിജയകരമായ പരിശോധനയ്ക്ക് ശേഷം മാത്രമേ നടത്താവൂ.

റീസെറ്റ് URL-നെക്കുറിച്ച് നമ്മൾ സംസാരിക്കുമ്പോൾ, ഞങ്ങൾ ഉദ്ദേശിക്കുന്നത് വെബ്‌സൈറ്റ് വിലാസമാണ്, അതായത് പുനഃസജ്ജമാക്കൽ പ്രക്രിയയുടെ ഈ പ്രത്യേക സാഹചര്യത്തിൽ അദ്വിതീയമാണ്. തീർച്ചയായും, ഇത് ക്രമരഹിതമായിരിക്കണം, അത് ഊഹിക്കാൻ എളുപ്പമായിരിക്കരുത്, കൂടാതെ അക്കൗണ്ട് പുനഃസജ്ജമാക്കുന്നത് എളുപ്പമാക്കുന്ന ഏതെങ്കിലും ബാഹ്യ പരാമർശങ്ങൾ അതിൽ അടങ്ങിയിരിക്കരുത്. ഉദാഹരണത്തിന്, റീസെറ്റ് URL "Reset/?username=JohnSmith" പോലെയുള്ള ഒരു പാത മാത്രമായിരിക്കരുത്.

ഒരു റീസെറ്റ് URL ആയി മെയിൽ ചെയ്യാനും തുടർന്ന് ഉപയോക്തൃ അക്കൗണ്ടിന്റെ സെർവർ റെക്കോർഡുമായി പൊരുത്തപ്പെടുത്താനും കഴിയുന്ന ഒരു അദ്വിതീയ ടോക്കൺ സൃഷ്ടിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു, അങ്ങനെ അക്കൗണ്ട് ഉടമയും പാസ്‌വേഡ് പുനഃസജ്ജമാക്കാൻ ശ്രമിക്കുന്ന അതേ വ്യക്തിയാണെന്ന് സ്ഥിരീകരിക്കുന്നു. . ഉദാഹരണത്തിന്, ഒരു ടോക്കൺ "3ce7854015cd38c862cb9e14a1ae552b" പോലെ കാണപ്പെടുകയും ഉപയോക്തൃ ഐഡി പുനഃസജ്ജമാക്കൽ, ടോക്കൺ ജനറേഷൻ സമയം എന്നിവയ്‌ക്കൊപ്പം ഒരു ടേബിളിൽ സംഭരിക്കുകയും ചെയ്‌തേക്കാം (അതിൽ കൂടുതൽ നിമിഷങ്ങൾക്കുള്ളിൽ). ഇമെയിൽ അയയ്‌ക്കുമ്പോൾ, അതിൽ "Reset/?id=3ce7854015cd38c862cb9e14a1ae552b" പോലെയുള്ള ഒരു URL അടങ്ങിയിരിക്കുന്നു, കൂടാതെ ഉപയോക്താവ് അത് ലോഡുചെയ്യുമ്പോൾ, പേജ് ടോക്കണിന്റെ നിലനിൽപ്പിനായി ആവശ്യപ്പെടുകയും ഉപയോക്താവിന്റെ വിവരങ്ങൾ സ്ഥിരീകരിക്കുകയും പാസ്‌വേഡ് മാറ്റാൻ അനുവദിക്കുകയും ചെയ്യുന്നു.

തീർച്ചയായും, മുകളിൽ പറഞ്ഞ പ്രക്രിയ (പ്രതീക്ഷയോടെ) ഒരു പുതിയ പാസ്‌വേഡ് സൃഷ്‌ടിക്കാൻ ഉപയോക്താവിനെ അനുവദിക്കുന്നതിനാൽ, URL HTTPS-ൽ ലോഡുചെയ്തിട്ടുണ്ടെന്ന് ഞങ്ങൾ ഉറപ്പാക്കേണ്ടതുണ്ട്. ഇല്ല, HTTPS വഴി ഒരു POST അഭ്യർത്ഥനയായി ഇത് കൈമാറുന്നത് പര്യാപ്തമല്ല, ടോക്കണുള്ള ഈ URL ട്രാൻസ്പോർട്ട് ലെയർ സുരക്ഷ ഉപയോഗിക്കണം, അതിനാൽ പുതിയ പാസ്‌വേഡ് എൻട്രി ഫോമിനെ ആക്രമിക്കാൻ കഴിയില്ല MITM കൂടാതെ ഉപയോക്താവ് സൃഷ്ടിച്ച പാസ്‌വേഡ് ഒരു സുരക്ഷിത കണക്ഷനിലൂടെ കൈമാറ്റം ചെയ്യപ്പെട്ടു.

കൂടാതെ, റീസെറ്റ് URL-ന്, നിങ്ങൾ ഒരു ടോക്കൺ സമയപരിധി ചേർക്കേണ്ടതുണ്ട്, അതുവഴി റീസെറ്റ് പ്രക്രിയ ഒരു നിശ്ചിത ഇടവേളയ്ക്കുള്ളിൽ പൂർത്തിയാക്കാൻ കഴിയും, അതായത്, ഒരു മണിക്കൂറിനുള്ളിൽ. റീസെറ്റ് ടൈം വിൻഡോ കഴിയുന്നത്ര ചെറുതാക്കിയിട്ടുണ്ടെന്ന് ഇത് ഉറപ്പാക്കുന്നു, അതിനാൽ ഈ റീസെറ്റ് URL സ്വീകരിക്കുന്നയാൾക്ക് ഈ ചെറിയ വിൻഡോയിൽ മാത്രമേ പ്രവർത്തിക്കാൻ കഴിയൂ. തീർച്ചയായും, ഒരു ആക്രമണകാരിക്ക് പുനഃസജ്ജീകരണ പ്രക്രിയ വീണ്ടും ആരംഭിക്കാൻ കഴിയും, എന്നാൽ അയാൾക്ക് മറ്റൊരു അദ്വിതീയ റീസെറ്റ് URL ലഭിക്കേണ്ടതുണ്ട്.

അവസാനമായി, ഈ പ്രക്രിയ ഡിസ്പോസിബിൾ ആണെന്ന് ഞങ്ങൾ ഉറപ്പാക്കേണ്ടതുണ്ട്. പുനഃസജ്ജമാക്കൽ പ്രക്രിയ പൂർത്തിയായിക്കഴിഞ്ഞാൽ, ടോക്കൺ നീക്കം ചെയ്യണം, അതിനാൽ റീസെറ്റ് URL സാധുതയുള്ളതല്ല. മുമ്പത്തെ പോയിന്റ് ആവശ്യമാണ്, അതിനാൽ ആക്രമണകാരിക്ക് വളരെ ചെറിയ വിൻഡോ ഉണ്ടായിരിക്കും, ഈ സമയത്ത് അയാൾക്ക് റീസെറ്റ് URL കൈകാര്യം ചെയ്യാൻ കഴിയും. കൂടാതെ, തീർച്ചയായും, റീസെറ്റ് വിജയകരമായി പൂർത്തിയാക്കിയ ശേഷം, ടോക്കൺ ഇനി ആവശ്യമില്ല.

ഈ ഘട്ടങ്ങളിൽ ചിലത് അനാവശ്യമായി തോന്നിയേക്കാം, എന്നാൽ അവ ഉപയോഗക്ഷമതയെ തടസ്സപ്പെടുത്തുന്നില്ല വാസ്തവത്തിൽ സുരക്ഷിതത്വം മെച്ചപ്പെടുത്തുക, അപൂർവമായിരിക്കുമെന്ന് ഞങ്ങൾ പ്രതീക്ഷിക്കുന്ന സാഹചര്യങ്ങളിൽ എങ്കിലും. 99% കേസുകളിലും, ഉപയോക്താവ് വളരെ ചുരുങ്ങിയ സമയത്തിനുള്ളിൽ റീസെറ്റ് പ്രാപ്തമാക്കും, സമീപഭാവിയിൽ വീണ്ടും പാസ്വേഡ് പുനഃസജ്ജമാക്കില്ല.

CAPTCHA യുടെ പങ്ക്

ഓ, CAPTCHA, നമ്മൾ എല്ലാവരും വെറുക്കാൻ ഇഷ്ടപ്പെടുന്ന സുരക്ഷാ നടപടി! വാസ്തവത്തിൽ, CAPTCHA എന്നത് തിരിച്ചറിയൽ പോലെ ഒരു സംരക്ഷണ മാർഗ്ഗമല്ല - നിങ്ങൾ ഒരു വ്യക്തിയോ റോബോട്ടോ ആണ് (അല്ലെങ്കിൽ ഒരു ഓട്ടോമേറ്റഡ് സ്ക്രിപ്റ്റ്). സ്വയമേവയുള്ള ഫോം സമർപ്പിക്കലുകൾ ഒഴിവാക്കുക എന്നതാണ് ഇതിന്റെ ഉദ്ദേശ്യം, തീർച്ചയായും, കഴിയും സംരക്ഷണം തകർക്കാനുള്ള ശ്രമമായി ഉപയോഗിക്കുന്നു. പാസ്‌വേഡുകൾ പുനഃസജ്ജമാക്കുന്നതിന്റെ പശ്ചാത്തലത്തിൽ, CAPTCHA അർത്ഥമാക്കുന്നത്, റീസെറ്റ് ഫംഗ്‌ഷൻ ഉപയോക്താവിനെ സ്‌പാം ചെയ്യുന്നതിനോ അക്കൗണ്ടുകളുടെ അസ്തിത്വം നിർണ്ണയിക്കുന്നതിനോ ക്രൂരമായി നിർബന്ധിതമാക്കാൻ കഴിയില്ല എന്നാണ് (നിങ്ങൾ വിഭാഗത്തിലെ നുറുങ്ങുകൾ പിന്തുടരുകയാണെങ്കിൽ തീർച്ചയായും ഇത് സാധ്യമാകില്ല. ഐഡന്റിറ്റി സ്ഥിരീകരണം).

തീർച്ചയായും, CAPTCHA തന്നെ തികഞ്ഞതല്ല; അത് പ്രോഗ്രമാറ്റിക്കായി "ഹാക്ക്" ചെയ്യപ്പെടുന്നതിനും മതിയായ വിജയ നിരക്ക് (60-70%) നേടുന്നതിനും നിരവധി മുൻ മാതൃകകളുണ്ട്. കൂടാതെ, എന്റെ പോസ്റ്റിൽ കാണിച്ചിരിക്കുന്ന ഒരു പരിഹാരമുണ്ട് ഓട്ടോമേറ്റഡ് ആളുകളാൽ CAPTCHA ക്രാക്കിംഗ്, ഓരോ CAPTCHA പരിഹരിക്കുന്നതിനും 94% വിജയ നിരക്ക് നേടുന്നതിനും നിങ്ങൾക്ക് ആളുകൾക്ക് ഒരു സെന്റിന്റെ അംശങ്ങൾ നൽകാം. അതായത്, ഇത് ദുർബലമാണ്, പക്ഷേ (ചെറുതായി) പ്രവേശന തടസ്സം ഉയർത്തുന്നു.

നമുക്ക് ഒരു PayPal ഉദാഹരണം നോക്കാം:

ഈ സാഹചര്യത്തിൽ, CAPTCHA പരിഹരിക്കുന്നതിന് മുമ്പ് റീസെറ്റ് പ്രക്രിയ ആരംഭിക്കാൻ കഴിയില്ല, അതിനാൽ സൈദ്ധാന്തികമായി പ്രക്രിയ ഓട്ടോമേറ്റ് ചെയ്യുന്നത് അസാധ്യമാണ്. സിദ്ധാന്തത്തിൽ.

എന്നിരുന്നാലും, മിക്ക വെബ് ആപ്ലിക്കേഷനുകൾക്കും ഇത് ഓവർകിൽ ആയിരിക്കും തികച്ചും ശരിയാണ് ഉപയോഗക്ഷമത കുറയുന്നതിനെ പ്രതിനിധീകരിക്കുന്നു - ആളുകൾക്ക് CAPTCHA-കൾ ഇഷ്ടമല്ല! കൂടാതെ, ആവശ്യമെങ്കിൽ നിങ്ങൾക്ക് എളുപ്പത്തിൽ മടങ്ങാൻ കഴിയുന്ന ഒരു കാര്യമാണ് CAPTCHA. സേവനം ആക്രമിക്കപ്പെടാൻ തുടങ്ങിയാൽ (ലോഗിംഗ് ഇവിടെ ഉപയോഗപ്രദമാണ്, എന്നാൽ പിന്നീട് അതിനെക്കുറിച്ച് കൂടുതൽ), ഒരു CAPTCHA ചേർക്കുന്നത് എളുപ്പമായിരിക്കില്ല.

രഹസ്യ ചോദ്യങ്ങളും ഉത്തരങ്ങളും

ഞങ്ങൾ നോക്കിയ എല്ലാ രീതികളും ഉപയോഗിച്ച്, ഇമെയിൽ അക്കൗണ്ടിലേക്ക് ആക്‌സസ് ഉള്ളതിനാൽ പാസ്‌വേഡ് പുനഃസജ്ജമാക്കാൻ ഞങ്ങൾക്ക് കഴിഞ്ഞു. ഞാൻ "വെറും" എന്ന് പറയുന്നു, പക്ഷേ തീർച്ചയായും, മറ്റൊരാളുടെ മെയിൽ അക്കൗണ്ടിലേക്ക് നിയമവിരുദ്ധമായി ആക്സസ് നേടുന്നു വേണം ഒരു സങ്കീർണ്ണമായ പ്രക്രിയ ആയിരിക്കും. എന്നിരുന്നാലും എല്ലായ്പോഴും അങ്ങനെയല്ല.

വാസ്തവത്തിൽ, സാറാ പാലിന്റെ യാഹൂവിനെക്കുറിച്ചുള്ള മുകളിലെ ലിങ്ക്! രണ്ട് ഉദ്ദേശ്യങ്ങൾ നിറവേറ്റുന്നു; ഒന്നാമതായി, (ചില) ഇമെയിൽ അക്കൌണ്ടുകൾ ഹാക്ക് ചെയ്യുന്നത് എത്ര എളുപ്പമാണെന്ന് ഇത് ചിത്രീകരിക്കുന്നു, രണ്ടാമതായി, എങ്ങനെ മോശമായ രഹസ്യ ചോദ്യങ്ങൾ ദുരുദ്ദേശ്യത്തോടെ ഉപയോഗിക്കാമെന്ന് ഇത് കാണിക്കുന്നു. എന്നാൽ ഞങ്ങൾ പിന്നീട് ഇതിലേക്ക് മടങ്ങും.

XNUMX% ഇമെയിലിനെ ആശ്രയിക്കുന്ന പാസ്‌വേഡുകൾ പുനഃസജ്ജമാക്കുന്നതിലെ പ്രശ്നം, നിങ്ങൾ പുനഃസജ്ജമാക്കാൻ ശ്രമിക്കുന്ന സൈറ്റിന്റെ അക്കൗണ്ട് സമഗ്രത ഇമെയിൽ അക്കൗണ്ടിന്റെ സമഗ്രതയെ XNUMX% ആശ്രയിച്ചിരിക്കുന്നു എന്നതാണ്. നിങ്ങളുടെ ഇമെയിലിലേക്ക് ആക്‌സസ് ഉള്ള ആർക്കും ഒരു ഇമെയിൽ സ്വീകരിച്ചുകൊണ്ട് പുനഃസജ്ജമാക്കാൻ കഴിയുന്ന ഏത് അക്കൗണ്ടിലേക്കും ആക്‌സസ് ഉണ്ട്. അത്തരം അക്കൗണ്ടുകൾക്ക്, ഇമെയിൽ നിങ്ങളുടെ ഓൺലൈൻ ജീവിതത്തിന്റെ "എല്ലാ വാതിലുകളിലേക്കുള്ള താക്കോലാണ്".

ഈ അപകടസാധ്യത ലഘൂകരിക്കാനുള്ള ഒരു മാർഗ്ഗം ഒരു സുരക്ഷാ ചോദ്യോത്തര പാറ്റേൺ നടപ്പിലാക്കുക എന്നതാണ്. നിങ്ങൾ അവരെ ഇതിനകം കണ്ടിട്ടുണ്ടെന്നതിൽ സംശയമില്ല: നിങ്ങൾ മാത്രമുള്ള ഒരു ചോദ്യം തിരഞ്ഞെടുക്കുക ചെയ്യണം ഉത്തരം അറിയുക, അതിനുശേഷം, നിങ്ങളുടെ പാസ്‌വേഡ് പുനഃസജ്ജമാക്കുമ്പോൾ, നിങ്ങളോട് അത് ചോദിക്കും. ഇത് പുനഃസജ്ജമാക്കാൻ ശ്രമിക്കുന്ന വ്യക്തി തീർച്ചയായും അക്കൗണ്ടിന്റെ ഉടമയാണെന്ന ആത്മവിശ്വാസം വർദ്ധിപ്പിക്കുന്നു.

തിരികെ സാറാ പാലിൻ, അവളുടെ രഹസ്യ ചോദ്യത്തിന്/ചോദ്യങ്ങൾക്കുള്ള ഉത്തരം കണ്ടെത്താൻ എളുപ്പമായിരുന്നു എന്നതാണ് തെറ്റ്. പ്രത്യേകിച്ചും നിങ്ങൾ ഒരു വലിയ പൊതു വ്യക്തിയായിരിക്കുമ്പോൾ, നിങ്ങളുടെ അമ്മയുടെ കന്നിപ്പേര്, സ്കൂൾ ചരിത്രം, അല്ലെങ്കിൽ ആരെങ്കിലും മുമ്പ് താമസിച്ചിരുന്ന സ്ഥലം എന്നിവയെക്കുറിച്ചുള്ള വിവരങ്ങൾ അത്ര രഹസ്യമല്ല. വാസ്തവത്തിൽ, അതിൽ ഭൂരിഭാഗവും ഏതാണ്ട് ആർക്കും കണ്ടെത്താനാകും. ഇതാണ് സാറയ്ക്ക് സംഭവിച്ചത്.

ഹാക്കർ ഡേവിഡ് കേർണൽ അവളുടെ ഹൈസ്‌കൂൾ, ജനനത്തീയതി തുടങ്ങിയ പശ്ചാത്തല വിശദാംശങ്ങൾ കണ്ടെത്തി Yahoo!-ന്റെ നഷ്ടപ്പെട്ട അക്കൗണ്ട് പാസ്‌വേഡ് വീണ്ടെടുക്കൽ ഫീച്ചർ ഉപയോഗിച്ച് പാലിന്റെ അക്കൗണ്ടിലേക്ക് ആക്‌സസ് നേടി.

ഇത് പ്രാഥമികമായി Yahoo!-ന്റെ ഭാഗത്തുള്ള ഒരു ഡിസൈൻ പിശകാണ്! - അത്തരം ലളിതമായ ചോദ്യങ്ങൾ വ്യക്തമാക്കുന്നതിലൂടെ, കമ്പനി പ്രധാനമായും രഹസ്യ ചോദ്യത്തിന്റെ മൂല്യത്തെ അട്ടിമറിച്ചു, അതിനാൽ അതിന്റെ സിസ്റ്റത്തിന്റെ സംരക്ഷണം. തീർച്ചയായും, ഒരു ഇമെയിൽ അക്കൗണ്ടിൽ പാസ്‌വേഡുകൾ പുനഃസജ്ജമാക്കുന്നത് എപ്പോഴും കൗശലകരമാണ്, കാരണം ഉടമയ്ക്ക് ഇമെയിൽ ചെയ്തുകൊണ്ട് (രണ്ടാമത്തെ വിലാസം ഇല്ലാതെ) അതിന്റെ ഉടമസ്ഥാവകാശം നിങ്ങൾക്ക് സ്ഥിരീകരിക്കാൻ കഴിയില്ല, എന്നാൽ ഭാഗ്യവശാൽ അത്തരമൊരു സിസ്റ്റത്തിന് ഇന്ന് ധാരാളം ഉപയോഗങ്ങൾ ഇല്ല.

രഹസ്യ ചോദ്യങ്ങളിലേക്ക് മടങ്ങുക - ഉപയോക്താവിനെ അവരുടെ സ്വന്തം ചോദ്യങ്ങൾ സൃഷ്ടിക്കാൻ അനുവദിക്കുന്നതിനുള്ള ഒരു ഓപ്ഷൻ ഉണ്ട്. ഫലം വളരെ വ്യക്തമായ ചോദ്യങ്ങളായിരിക്കും എന്നതാണ് പ്രശ്നം:

ആകാശത്തിന് എന്ത് നിറമാണ്?

ഒരു സുരക്ഷാ ചോദ്യം തിരിച്ചറിയാൻ ഒരു രഹസ്യ ചോദ്യം ഉപയോഗിക്കുമ്പോൾ ആളുകളെ അസ്വസ്ഥരാക്കുന്ന ചോദ്യങ്ങൾ വ്യക്തി (ഉദാഹരണത്തിന്, ഒരു കോൾ സെന്ററിൽ):

ക്രിസ്മസിൽ ഞാൻ ആരുടെ കൂടെയാണ് കിടന്നത്?

അല്ലെങ്കിൽ വ്യക്തമായ മണ്ടൻ ചോദ്യങ്ങൾ:

നിങ്ങൾ എങ്ങനെയാണ് "പാസ്‌വേഡ്" എന്ന് ഉച്ചരിക്കുന്നത്?

സുരക്ഷാ ചോദ്യങ്ങളുടെ കാര്യം വരുമ്പോൾ, ഉപയോക്താക്കൾ അവരിൽ നിന്ന് തന്നെ രക്ഷിക്കേണ്ടതുണ്ട്! മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, രഹസ്യ ചോദ്യം സൈറ്റിനെ തന്നെ നിർണ്ണയിക്കണം, അല്ലെങ്കിൽ അതിലും മികച്ചത് ചോദിക്കുക സീരീസ് ഉപയോക്താവിന് തിരഞ്ഞെടുക്കാൻ കഴിയുന്ന സുരക്ഷാ ചോദ്യങ്ങൾ. അല്ലാതെ വെറുതെ തിരഞ്ഞെടുക്കരുത് один; ഉപയോക്താവ് രണ്ടോ അതിലധികമോ സുരക്ഷാ ചോദ്യങ്ങൾ തിരഞ്ഞെടുക്കണം അക്കൗണ്ട് രജിസ്ട്രേഷൻ സമയത്ത്, അത് പിന്നീട് രണ്ടാമത്തെ ഐഡന്റിഫിക്കേഷൻ ചാനലായി ഉപയോഗിക്കും. ഒന്നിലധികം ചോദ്യങ്ങൾ ഉള്ളത് സ്ഥിരീകരണ പ്രക്രിയയിൽ ആത്മവിശ്വാസം വർധിപ്പിക്കുന്നു, കൂടാതെ ക്രമരഹിതമായി (എല്ലായ്‌പ്പോഴും ഒരേ ചോദ്യം കാണിക്കുന്നില്ല) അനുവദിക്കുന്നു, കൂടാതെ യഥാർത്ഥ ഉപയോക്താവ് പാസ്‌വേഡ് മറന്നുപോയാൽ കുറച്ച് ആവർത്തനവും നൽകുന്നു.

ഒരു നല്ല സുരക്ഷാ ചോദ്യം എന്തായിരിക്കണം? നിരവധി ഘടകങ്ങൾ ഇതിനെ സ്വാധീനിക്കുന്നു:

1. അത് അങ്ങനെ തന്നെ ആയിരിക്കണം ചുരുക്കത്തിലുള്ള ചോദ്യം വ്യക്തവും അവ്യക്തവുമായിരിക്കണം.
2. ഉത്തരം ആയിരിക്കണം നിർദ്ദിഷ്ടം - ഒരാൾക്ക് വ്യത്യസ്ത രീതികളിൽ ഉത്തരം നൽകാൻ കഴിയുന്ന ഒരു ചോദ്യം ഞങ്ങൾക്ക് ആവശ്യമില്ല
3. സാധ്യമായ ഉത്തരങ്ങൾ ആയിരിക്കണം വൈവിധ്യമാർന്ന ഒരാളുടെ പ്രിയപ്പെട്ട നിറം ചോദിക്കുന്നത് സാധ്യമായ ഉത്തരങ്ങളുടെ വളരെ ചെറിയ ഉപവിഭാഗം നൽകുന്നു.
4. Поиск ഉത്തരം സങ്കീർണ്ണമായിരിക്കണം - ഉത്തരം എളുപ്പത്തിൽ കണ്ടെത്താൻ കഴിയുമെങ്കിൽ ഏതെങ്കിലും (ഉയർന്ന സ്ഥാനത്തുള്ള ആളുകളെക്കുറിച്ച് ചിന്തിക്കുക), അപ്പോൾ അവൻ മോശമാണ്
5. ഉത്തരം ആയിരിക്കണം ശാശ്വതമാണ് കൃത്യസമയത്ത് - നിങ്ങൾ ആരുടെയെങ്കിലും പ്രിയപ്പെട്ട സിനിമ ചോദിച്ചാൽ, ഒരു വർഷത്തിനുശേഷം ഉത്തരം വ്യത്യസ്തമായിരിക്കും

ഇത് സംഭവിക്കുമ്പോൾ, നല്ല ചോദ്യങ്ങൾക്കായി സമർപ്പിച്ചിരിക്കുന്ന ഒരു വെബ്‌സൈറ്റ് ഉണ്ട് GoodSecurityQuestions.com. ചില ചോദ്യങ്ങൾ വളരെ നല്ലതാണെന്ന് തോന്നുന്നു, മറ്റുള്ളവ മുകളിൽ വിവരിച്ച ചില ടെസ്റ്റുകളിൽ പരാജയപ്പെടുന്നു, പ്രത്യേകിച്ച് "കണ്ടെത്താൻ എളുപ്പമുള്ള" ടെസ്റ്റ്.

PayPal-ൽ സുരക്ഷാ ചോദ്യങ്ങൾ എങ്ങനെയാണ് നടപ്പിലാക്കുന്നത് എന്നും, പ്രത്യേകിച്ച്, തിരിച്ചറിയാൻ സൈറ്റ് എത്രമാത്രം പരിശ്രമിക്കുന്നുവെന്നും ഞാൻ കാണിച്ചുതരാം. മുകളിൽ പ്രോസസ്സ് ആരംഭ പേജ് (ക്യാപ്ച്ചയോടൊപ്പം) ഞങ്ങൾ കണ്ടു, നിങ്ങളുടെ ഇമെയിൽ വിലാസം നൽകി CAPTCHA പരിഹരിച്ചതിന് ശേഷം എന്താണ് സംഭവിക്കുന്നതെന്ന് ഞങ്ങൾ ഇവിടെ കാണിക്കുന്നു:

തൽഫലമായി, ഉപയോക്താവിന് ഇനിപ്പറയുന്ന ഇമെയിൽ ലഭിക്കും:

ഇതുവരെ സാധാരണമാണ്, എന്നാൽ ഈ പുനഃസജ്ജീകരണ URL-ന് പിന്നിൽ എന്താണ്:

അതിനാൽ, രഹസ്യ ചോദ്യങ്ങൾ പ്രവർത്തിക്കുന്നു. വാസ്തവത്തിൽ, നിങ്ങളുടെ ക്രെഡിറ്റ് കാർഡ് നമ്പർ പരിശോധിച്ച് പാസ്‌വേഡ് പുനഃസജ്ജമാക്കാനും PayPal നിങ്ങളെ അനുവദിക്കുന്നു, അതിനാൽ പല സൈറ്റുകൾക്കും ആക്‌സസ്സ് ഇല്ലാത്ത ഒരു അധിക ചാനൽ ഉണ്ട്. ഉത്തരം നൽകാതെ എനിക്ക് എന്റെ പാസ്‌വേഡ് മാറ്റാൻ കഴിയില്ല രണ്ടും രഹസ്യ ചോദ്യം (അല്ലെങ്കിൽ കാർഡ് നമ്പർ അറിയില്ല). ആരെങ്കിലും എന്റെ ഇമെയിൽ ഹൈജാക്ക് ചെയ്‌താൽ പോലും, എന്നെ കുറിച്ചുള്ള കുറച്ചുകൂടി സ്വകാര്യ വിവരങ്ങൾ അറിയാത്ത പക്ഷം അവർക്ക് അവരുടെ PayPal അക്കൗണ്ട് പാസ്‌വേഡ് റീസെറ്റ് ചെയ്യാൻ കഴിയില്ല. എന്ത് വിവരങ്ങൾ? PayPal നൽകുന്ന സുരക്ഷാ ചോദ്യങ്ങൾക്കുള്ള ഓപ്ഷനുകൾ ഇതാ:

സ്‌കൂൾ, ഹോസ്പിറ്റൽ ചോദ്യം തിരയാനുള്ള എളുപ്പത്തിന്റെ കാര്യത്തിൽ അൽപ്പം ബുദ്ധിമുട്ടുള്ളതായിരിക്കാം, എന്നാൽ മറ്റുള്ളവ അത്ര മോശമല്ല. എന്നിരുന്നാലും, സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിന്, PayPal-ന് കൂടുതൽ തിരിച്ചറിയൽ ആവശ്യമാണ് മാറ്റം സുരക്ഷാ ചോദ്യങ്ങൾക്കുള്ള ഉത്തരങ്ങൾ:

സുരക്ഷിതമായ പാസ്‌വേഡ് പുനഃസജ്ജീകരണത്തിന്റെ ഒരു ഉട്ടോപ്യൻ ഉദാഹരണമാണ് PayPal: ഇത് ബ്രൂട്ട് ഫോഴ്‌സിന്റെ അപകടസാധ്യത കുറയ്ക്കുന്നതിന് ഒരു CAPTCHA നടപ്പിലാക്കുന്നു, രണ്ട് സുരക്ഷാ ചോദ്യങ്ങൾ ആവശ്യമാണ്, തുടർന്ന് ഉത്തരങ്ങൾ മാറ്റാൻ മറ്റൊരു തരത്തിലുള്ള തികച്ചും വ്യത്യസ്തമായ ഐഡന്റിറ്റി ആവശ്യമാണ് - അത് ഉപയോക്താവിന് ശേഷം. ഇതിനകം സൈൻ ഇൻ ചെയ്തിട്ടുണ്ട്. തീർച്ചയായും, ഇത് ഞങ്ങൾ തന്നെയാണ് പ്രതീക്ഷിച്ചത് പേപാലിൽ നിന്നായിരിക്കും; വലിയ തുകകൾ കൈകാര്യം ചെയ്യുന്ന ഒരു ധനകാര്യ സ്ഥാപനമാണിത്. ഓരോ പാസ്‌വേഡ് പുനഃസജ്ജീകരണവും ഈ ഘട്ടങ്ങൾ പാലിക്കണമെന്ന് ഇതിനർത്ഥമില്ല - മിക്ക കേസുകളിലും ഇത് ഓവർകിൽ ആണ് - എന്നാൽ സുരക്ഷ ഗുരുതരമായ ബിസിനസ്സുള്ള സന്ദർഭങ്ങളിൽ ഇത് ഒരു മികച്ച ഉദാഹരണമാണ്.

സുരക്ഷാ ചോദ്യ സംവിധാനത്തിന്റെ സൗകര്യം, നിങ്ങൾ അത് ഉടനടി നടപ്പിലാക്കിയില്ലെങ്കിൽ, റിസോഴ്സിന്റെ പരിരക്ഷയുടെ നിലവാരം ആവശ്യമെങ്കിൽ നിങ്ങൾക്ക് അത് പിന്നീട് ചേർക്കാവുന്നതാണ്. ഇതിന്റെ മികച്ച ഉദാഹരണമാണ് ആപ്പിൾ, ഈ സംവിധാനം അടുത്തിടെ നടപ്പിലാക്കിയത്. [2012-ൽ എഴുതിയ ലേഖനം]. ഞാൻ iPad-ൽ ആപ്ലിക്കേഷൻ അപ്ഡേറ്റ് ചെയ്യാൻ തുടങ്ങിയപ്പോൾ, ഇനിപ്പറയുന്ന അഭ്യർത്ഥന ഞാൻ കണ്ടു:

അപ്പോൾ എനിക്ക് ഒന്നിലധികം ജോഡി സുരക്ഷാ ചോദ്യങ്ങളും ഉത്തരങ്ങളും തിരഞ്ഞെടുക്കാൻ കഴിയുന്ന ഒരു സ്‌ക്രീൻ കണ്ടു, കൂടാതെ ഒരു റെസ്ക്യൂ ഇമെയിൽ വിലാസവും:

പേപാലിനെ സംബന്ധിച്ചിടത്തോളം, ചോദ്യങ്ങൾ മുൻകൂട്ടി തിരഞ്ഞെടുത്തവയാണ്, അവയിൽ ചിലത് യഥാർത്ഥത്തിൽ വളരെ മികച്ചതാണ്:

മൂന്ന് ജോഡി ചോദ്യങ്ങളും ഉത്തരങ്ങളും ഓരോന്നും സാധ്യമായ വ്യത്യസ്ത ചോദ്യങ്ങളെ പ്രതിനിധീകരിക്കുന്നു, അതിനാൽ ഒരു അക്കൗണ്ട് കോൺഫിഗർ ചെയ്യുന്നതിന് ധാരാളം മാർഗങ്ങളുണ്ട്.

സുരക്ഷാ ചോദ്യത്തിനുള്ള ഉത്തരം സംബന്ധിച്ച് പരിഗണിക്കേണ്ട മറ്റൊരു വശം സംഭരണമാണ്. DB-യിലെ പ്ലെയിൻ ടെക്‌സ്‌റ്റ് ഒരു പാസ്‌വേഡിന്റെ കാര്യത്തിലെ അതേ ഭീഷണി ഉയർത്തുന്നു, അതായത്, ഡാറ്റാബേസ് തൽക്ഷണം വെളിപ്പെടുത്തുന്നത് മൂല്യം വെളിപ്പെടുത്തുകയും ആപ്ലിക്കേഷനെ മാത്രമല്ല, അതേ സുരക്ഷാ ചോദ്യങ്ങൾ ഉപയോഗിക്കുന്ന തികച്ചും വ്യത്യസ്തമായ ആപ്ലിക്കേഷനുകളെ അപകടത്തിലാക്കുകയും ചെയ്യുന്നു (ഇത് വീണ്ടും അക്കായ് ബെറി ചോദ്യം). സുരക്ഷിതമായ ഹാഷിംഗ് (ശക്തമായ അൽഗോരിതം, ക്രിപ്‌റ്റോഗ്രാഫിക്കായി ക്രമരഹിതമായ ഉപ്പ്) ആണ് ഒരു ഓപ്ഷൻ, എന്നാൽ മിക്ക പാസ്‌വേഡ് സ്റ്റോറേജ് കേസുകളിൽ നിന്നും വ്യത്യസ്തമായി, പ്രതികരണം പ്ലെയിൻ ടെക്‌സ്‌റ്റായി ദൃശ്യമാകുന്നതിന് നല്ല കാരണമുണ്ടാകാം. ഒരു തത്സമയ ടെലിഫോൺ ഓപ്പറേറ്റർ മുഖേനയുള്ള ഐഡന്റിറ്റി സ്ഥിരീകരണമാണ് ഒരു സാധാരണ സാഹചര്യം. തീർച്ചയായും, ഹാഷിംഗ് ഈ കേസിൽ ബാധകമാണ് (ഓപ്പറേറ്റർക്ക് ക്ലയന്റ് നാമകരണം ചെയ്ത ഉത്തരം ലളിതമായി നൽകാം), എന്നാൽ ഏറ്റവും മോശം സാഹചര്യത്തിൽ, രഹസ്യ ഉത്തരം സിമ്മട്രിക് എൻക്രിപ്ഷൻ ആണെങ്കിൽപ്പോലും ക്രിപ്റ്റോഗ്രാഫിക് സംഭരണത്തിന്റെ ഏതെങ്കിലും തലത്തിലായിരിക്കണം. സംഗഹിക്കുക: രഹസ്യങ്ങളെ രഹസ്യങ്ങൾ പോലെ കൈകാര്യം ചെയ്യുക!

രഹസ്യ ചോദ്യങ്ങളുടെയും ഉത്തരങ്ങളുടെയും അവസാന വശം അവർ സോഷ്യൽ എഞ്ചിനീയറിംഗിന് കൂടുതൽ ഇരയാകുന്നു എന്നതാണ്. മറ്റൊരാളുടെ അക്കൗണ്ടിലേക്ക് നേരിട്ട് പാസ്‌വേഡ് അഭ്യർത്ഥിക്കാൻ ശ്രമിക്കുന്നത് ഒരു കാര്യമാണ്, എന്നാൽ അവന്റെ വിദ്യാഭ്യാസത്തെക്കുറിച്ചുള്ള സംഭാഷണം (ഒരു ജനപ്രിയ രഹസ്യ ചോദ്യം) തികച്ചും വ്യത്യസ്തമാണ്. വാസ്തവത്തിൽ, ഒരു രഹസ്യ ചോദ്യമായേക്കാവുന്ന, സംശയം ജനിപ്പിക്കാതെ, ഒരാളുടെ ജീവിതത്തിന്റെ പല വശങ്ങളെക്കുറിച്ചും ആശയവിനിമയം നടത്തുന്നത് നിങ്ങൾക്ക് തികച്ചും സാദ്ധ്യമാണ്. തീർച്ചയായും, ഒരു രഹസ്യ ചോദ്യത്തിന്റെ സാരാംശം അത് ഒരാളുടെ ജീവിതാനുഭവവുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു എന്നതാണ്, അതിനാൽ അത് ഓർമ്മിക്കപ്പെടുന്നു, ഇവിടെയാണ് പ്രശ്നം കിടക്കുന്നത് - ആളുകൾ അവരുടെ ജീവിതാനുഭവങ്ങളെക്കുറിച്ച് സംസാരിക്കാൻ ഇഷ്ടപ്പെടുന്നു! സുരക്ഷാ ചോദ്യ ഓപ്‌ഷനുകൾ തിരഞ്ഞെടുക്കുന്നില്ലെങ്കിൽ നിങ്ങൾക്ക് ഇതിനെക്കുറിച്ച് വളരെയധികം ചെയ്യാൻ കഴിയില്ല കുറവ് സോഷ്യൽ എഞ്ചിനീയറിംഗ് വഴി പിൻവലിക്കാൻ സാധ്യതയുണ്ട്.

[തുടരും.]

ഒരു പരസ്യമായി

വി.ഡി.സിന വിശ്വസനീയമായ വാഗ്ദാനങ്ങൾ പ്രതിദിന പേയ്‌മെന്റുള്ള സെർവറുകൾ, ഓരോ സെർവറും 500 Mbps ന്റെ ഇന്റർനെറ്റ് ചാനലുമായി ബന്ധിപ്പിച്ചിരിക്കുന്നു കൂടാതെ DDoS ആക്രമണങ്ങളിൽ നിന്ന് സൗജന്യമായി പരിരക്ഷിച്ചിരിക്കുന്നു!

അവലംബം: www.habr.com