Dan l-aħħar kelli ħin biex nerġa' naħseb dwar kif għandha taħdem karatteristika sigura ta' reset tal-password, l-ewwel meta kont qed nibni din il-funzjonalità f' , u mbagħad meta għen lil persuna oħra tagħmel xi ħaġa simili. Fit-tieni każ, ridt nagħtih link għal riżors kanoniku bid-dettalji kollha ta 'kif timplimenta b'mod sikur il-funzjoni ta' reset. Madankollu, il-problema hi li riżors bħal dan ma jeżistix, għall-inqas mhux wieħed li jiddeskrivi dak kollu li jidhirli importanti. Għalhekk iddeċidejt li nikteb jien.
Tara, id-dinja tal-passwords minsija hija fil-fatt waħda pjuttost misterjuża. Hemm ħafna opinjonijiet differenti, kompletament aċċettabbli u ħafna opinjonijiet pjuttost perikolużi. Ċansijiet huma li ltqajt magħhom kull wieħed minnhom ħafna drabi bħala utent aħħari; għalhekk ser nipprova nuża dawn l-eżempji biex nuri min qed jagħmel tajjeb, min mhux, u fuq xiex trid tiffoka biex tikseb il-karatteristika dritt fl-app tiegħek.
Ħażna tal-password: hashing, encryption u (gasp!) Test sempliċi
Ma nistgħux niddiskutu x'għandna nagħmlu b'passwords minsija qabel ma niddiskutu kif naħżnuhom. Il-passwords huma maħżuna fid-database f'wieħed minn tliet tipi ewlenin:
- Test sempliċi. Hemm kolonna password, li hija maħżuna f'forma ta 'test sempliċi.
- Encrypted. Tipikament bl-użu ta 'kodifikazzjoni simetrika (ċavetta waħda tintuża kemm għall-kodifikazzjoni kif ukoll għad-deċifrar), u l-passwords encrypted huma wkoll maħżuna fl-istess kolonna.
- Hashed. Proċess f'direzzjoni waħda (il-password tista' tiġi hashed, iżda ma tistax tiġi dehashed); password, Nixtieq nittama, segwit minn melħ, u kull wieħed ikun fil-kolonna tiegħu.
Ejja mmorru dritt għall-iktar mistoqsija sempliċi: Qatt taħżen passwords f'test sempliċi! Qatt. Vulnerabilità waħda waħda għal , backup wieħed traskurat, jew wieħed minn għexieren ta 'żbalji sempliċi oħra - u dak hu, gameover, il-passwords kollha tiegħek - jiġifieri, skużani, passwords tal-klijenti kollha tiegħek se ssir dominju pubbliku. Naturalment, dan ikun ifisser probabbiltà kbira li mill-kontijiet kollha tagħhom f'sistemi oħra. U se tkun tort tiegħek.
Il-kriptaġġ huwa aħjar, iżda għandu d-dgħufijiet tiegħu. Il-problema bl-encryption hija decryption; nistgħu nieħdu dawn iċ-ċifraturi li jfittxu miġnun u jaqilbuhom lura għal test sempliċi, u meta jiġri hekk aħna nerġgħu lura għas-sitwazzjoni tal-password li tinqara mill-bniedem. Kif jiġri dan? Difett żgħir jidħol fil-kodiċi li jiddeċifra l-password, u jagħmilha disponibbli pubblikament - dan huwa mod wieħed. Il-hackers jiksbu aċċess għall-magna li fuqha hija maħżuna dejta kriptata - dan huwa t-tieni metodu. Mod ieħor, għal darb'oħra, huwa li tisraq il-backup tad-database u xi ħadd jikseb ukoll iċ-ċavetta tal-kriptaġġ, li ħafna drabi tkun maħżuna b'mod mhux sigur ħafna.
U dan iwassalna għall-hashing. L-idea wara l-hashing hija li huwa one-way; L-uniku mod biex tqabbel il-password mdaħħla mill-utent mal-verżjoni hashed tagħha huwa li l-input hash u jqabbluhom. Biex nipprevjenu attakki minn għodod bħall-imwejjed tal-qawsalla, aħna melħ il-proċess b'mod każwali (aqra tiegħi dwar il-ħażna kriptografika). Fl-aħħar mill-aħħar, jekk jiġu implimentati b'mod korrett, nistgħu nkunu kunfidenti li l-passwords hashed qatt ma jerġgħu jsiru test sempliċi (ser nitkellem dwar il-benefiċċji ta 'algoritmi ta' hashing differenti f'post ieħor).
Argument rapidu dwar hashing vs encryption: l-unika raġuni li qatt ikollok bżonn tikkriptja aktar milli hash password hija meta jkollok bżonn tara l-password f'test sempliċi, u qatt m'għandek trid dan, għall-inqas f'sitwazzjoni ta' websajt standard. Jekk għandek bżonn dan, allura x'aktarx li qed tagħmel xi ħaġa ħażina!
Attenzjoni!
Hawn taħt fit-test tal-post hemm parti minn screenshot tal-websajt pornografika AlotPorn. Huwa mirqum sewwa u għalhekk m'hemm xejn li ma tistax tara fuq il-bajja, imma jekk xorta x'aktarx tikkawża xi problemi, iscrollx 'l isfel.
Dejjem reset il-password tiegħek qatt tfakkarx lilu
Qatt ġejt mitlub biex toħloq funzjoni tfakkiriet password? Ħu pass lura u aħseb dwar din it-talba bil-maqlub: għaliex hija meħtieġa din it-“tfakkira”? Minħabba li l-utent nesa l-password. Xi rridu verament nagħmlu? Għinu jerġa' jidħol.
Nirrealizza li l-kelma "tfakkira" tintuża (spiss) f'sens kolokwali, iżda dak li verament qed nippruvaw nagħmlu huwa jgħin lill-utent biex jerġa' jkun online b'mod sikur. Peress li għandna bżonn is-sigurtà, hemm żewġ raġunijiet għaliex tfakkira (jiġifieri tibgħat lill-utent il-password tiegħu) mhix xierqa:
- L-email huwa kanal mhux sikur. Hekk kif aħna ma nibagħtu xejn sensittiv fuq HTTP (konna nużaw HTTPS), m'għandna nibagħtu xejn sensittiv fuq l-email minħabba li s-saff tat-trasport tiegħu mhuwiex sigur. Fil-fatt, dan huwa ħafna agħar milli sempliċiment tibgħat informazzjoni fuq protokoll tat-trasport mhux sikur, minħabba li l-posta spiss tinħażen fuq apparat ta 'ħażna, aċċessibbli għall-amministraturi tas-sistema, mibgħuta u mqassma, aċċessibbli għal malware, eċċ. L-email mhux kriptat huwa kanal estremament mhux sigur.
- M'għandux ikollok aċċess għall-password xorta waħda. Erġa' aqra t-taqsima preċedenti dwar il-ħażna - għandu jkollok hash tal-password (b'melħ qawwi tajjeb), li jfisser li m'għandek tkun tista' bl-ebda mod tiġbed il-password u tibgħatha bil-posta.
Ħallini nuri l-problema b'eżempju : Hawnhekk hawn paġna ta' login tipika:
Ovvjament, l-ewwel problema hija li l-paġna tal-login ma titgħabbix fuq HTTPS, iżda s-sit iqanqlek ukoll biex tibgħat password ("Ibgħat Password"). Dan jista 'jkun eżempju ta' l-użu kolokwali tat-terminu msemmi hawn fuq, allura ejja nieħdu pass ieħor u naraw x'jiġri:
Ma jidhirx ħafna aħjar, sfortunatament; u email tikkonferma li hemm problema:
Dan jgħidilna żewġ aspetti importanti ta’ usoutdoor.com:
- Is-sit ma hash passwords. Fl-aħjar, huma kriptati, iżda huwa probabbli li huma maħżuna f'test sempliċi; Ma naraw l-ebda evidenza għall-kuntrarju.
- Is-sit jibgħat password fit-tul (nistgħu mmorru lura u nużawha għal darb'oħra) fuq kanal mhux assigurat.
B'dan barra mill-mod, irridu niċċekkjaw jekk il-proċess ta 'reset isir b'mod sigur. L-ewwel pass biex tagħmel dan huwa li tiżgura li min jagħmel it-talba għandu d-dritt li jwettaq ir-reset. Fi kliem ieħor, qabel dan għandna bżonn kontroll tal-identità; ejja nagħtu ħarsa lejn x'jiġri meta identità tiġi vverifikata mingħajr l-ewwel verifika li min jagħmel it-talba huwa fil-fatt is-sid tal-kont.
Elenkar tal-ismijiet tal-utenti u l-impatt tiegħu fuq l-anonimità
Din il-problema hija l-aħjar illustrata viżwalment. Problema:
Tara? Oqgħod attent għall-messaġġ "M'hemm l-ebda utent irreġistrat b'dan l-indirizz elettroniku." Il-problema ovvjament tqum jekk sit bħal dan jikkonferma disponibbiltà utent irreġistrat b'tali indirizz elettroniku. Bingo - għadek kif skoprejt il-fetish tal-porn tar-raġel/imgħallem/ġar tiegħek!
Naturalment, il-porn huwa eżempju pjuttost emblematiku tal-importanza tal-privatezza, iżda l-perikli li wieħed jassoċja individwu ma 'websajt speċifika huma ħafna usa' mis-sitwazzjoni potenzjalment skomda deskritta hawn fuq. Periklu wieħed huwa l-inġinerija soċjali; Jekk l-attakkant jista 'jqabbel persuna mas-servizz, allura jkollu informazzjoni li jista' jibda juża. Pereżempju, jista' jikkuntattja lil persuna li tippoża bħala rappreżentant ta' websajt u jitlob informazzjoni addizzjonali f'tentattiv li jimpenja ruħu .
Prattiċi bħal dawn iqajmu wkoll il-periklu ta’ “enumerazzjoni tal-ismijiet tal-utent”, li biha wieħed jista’ jivverifika l-eżistenza ta’ kollezzjoni sħiħa ta’ ismijiet tal-utenti jew indirizzi tal-email fuq websajt billi sempliċement iwettaq mistoqsijiet tal-grupp u jeżamina t-tweġibiet għalihom. Għandek lista ta' indirizzi email tal-impjegati kollha u ftit minuti biex tikteb skript? Imbagħad tara x'inhi l-problema!
X'inhi l-alternattiva? Fil-fatt, huwa pjuttost sempliċi, u huwa implimentat mill-isbaħ fi :
Hawnhekk Entropay ma tiżvela assolutament xejn dwar l-eżistenza ta 'indirizz elettroniku fis-sistema tagħha lil xi ħadd li m'għandux dan l-indirizz... Jekk int stess dan l-indirizz u ma jeżistix fis-sistema, allura tirċievi email bħal din:
Naturalment, jista 'jkun hemm sitwazzjonijiet aċċettabbli li fihom xi ħadd jaħsebli tkun irreġistrajt fuq il-websajt. iżda dan mhux il-każ, jew għamilt minn indirizz elettroniku differenti. L-eżempju muri hawn fuq jimmaniġġa sew iż-żewġ sitwazzjonijiet. Ovvjament, jekk l-indirizz jaqbel, tirċievi email li tagħmilha aktar faċli li terġa 'tiġi reset il-password tiegħek.
Is-sottilità tas-soluzzjoni magħżula minn Entropay hija li l-verifika tal-identifikazzjoni titwettaq skont email qabel kwalunkwe verifika onlajn. Xi siti jistaqsu lill-utenti għat-tweġiba għal mistoqsija tas-sigurtà (aktar dwar dan hawn taħt) li kif jista’ jibda r-reset; madankollu, il-problema ma 'dan hija li inti għandek twieġeb il-mistoqsija filwaqt li tipprovdi xi forma ta' identifikazzjoni (email jew username), li mbagħad jagħmilha kważi impossibbli li twieġeb intuwittivament mingħajr ma tiżvela l-eżistenza tal-kont tal-utent anonimu.
B'dan l-approċċ hemm żgħar naqset fl-użu għax jekk tipprova tirrisettja kont ineżistenti, ma jkun hemm l-ebda feedback immedjat. Naturalment, dak huwa l-punt kollu li tibgħat email, iżda mill-perspettiva ta 'utent finali reali, jekk jidħlu fl-indirizz ħażin, ikunu jafu biss għall-ewwel darba meta jirċievu l-email. Dan jista 'jikkawża xi tensjoni min-naħa tiegħu, iżda dan huwa prezz żgħir li tħallas għal proċess rari bħal dan.
Nota oħra, kemxejn barra mis-suġġett: funzjonijiet ta' assistenza għall-login li jiżvelaw jekk username jew indirizz elettroniku huwiex korrett għandhom l-istess problema. Dejjem wieġeb lill-utent b'messaġġ "Inti l-isem tal-utent u l-kombinazzjoni tal-password hija invalida" aktar milli tikkonferma espliċitament l-eżistenza tal-kredenzjali (per eżempju, "l-isem tal-utent huwa korrett, iżda l-password mhix korretta").
Tibgħat il-password reset vs tibgħat URL reset
Il-kunċett li jmiss li għandna bżonn niddiskutu huwa kif reset il-password tiegħek. Hemm żewġ soluzzjonijiet popolari:
- Tiġġenera password ġdida fuq is-server u tibgħatha bl-email
- Ibgħat email b'URL uniku biex tagħmel il-proċess ta' reset aktar faċli
Minkejja , l-ewwel punt m'għandu qatt jintuża. Il-problema ma 'dan hija li dan ifisser li hemm password maħżuna, li tista' tirritorna għaliha u terġa' tużah fi kwalunkwe ħin; intbagħtet minn kanal mhux sikur u tibqa' fl-inbox tiegħek. Iċ-ċansijiet huma li l-inboxes jiġu sinkronizzati fuq it-tagħmir mobbli u l-klijent tal-email, kif ukoll jistgħu jinħażnu onlajn fis-servizz tal-email tal-web għal żmien twil ħafna. Il-punt huwa li kaxxa postali ma tistax titqies bħala mezz affidabbli ta 'ħażna fit-tul.
Iżda minbarra dan, l-ewwel punt għandu problema serja oħra - it tissimplifika kemm jista’ jkun jimblokka kont b'intenzjoni malizzjuża. Jekk naf l-indirizz tal-email ta’ xi ħadd li għandu kont fuq websajt, allura nista’ nibblokkah fi kwalunkwe ħin billi sempliċement nissettja mill-ġdid il-password tiegħu; Dan huwa attakk ta’ ċaħda ta’ servizz moqdi fuq platt tal-fidda! Huwa għalhekk li r-reset għandu jsir biss wara verifika b'suċċess tad-drittijiet ta' min jagħmel it-talba għaliha.
Meta nitkellmu dwar URL reset, irridu nfissru l-indirizz ta 'websajt li hija uniku għal dan il-każ partikolari tal-proċess ta’ reset. Naturalment, għandu jkun każwali, m'għandux ikun faċli li wieħed isib, u m'għandux ikun fih links esterni għall-kont li jagħmilha aktar faċli biex terġa 'tiġi reset. Pereżempju, l-URL reset m'għandux ikun sempliċiment mogħdija bħal "Reset/?username=JohnSmith".
Irridu noħolqu token uniku li jista 'jiġi mibgħut bħala URL reset, u mbagħad imqabbel mar-rekord tas-server tal-kont tal-utent, u b'hekk nikkonfermaw li s-sid tal-kont huwa, fil-fatt, l-istess persuna li qed tipprova tirrisettja l-password . Pereżempju, token jista 'jkun "3ce7854015cd38c862cb9e14a1ae552b" u maħżun f'tabella flimkien mal-ID tal-utent li jwettaq ir-reset u l-ħin li t-token ġie ġġenerat (aktar dwar dan hawn taħt). Meta tintbagħat l-email, fiha URL bħal “Irrisettja/?id=3ce7854015cd38c862cb9e14a1ae552b”, u meta l-utent iniżżilha, il-paġna tqajjem għall-eżistenza tat-token, u wara tikkonferma l-informazzjoni tal-utent u tippermettilhom jibdlu l- password.
Naturalment, peress li l-proċess ta 'hawn fuq (nittamaw) jippermetti lill-utent joħloq password ġdida, irridu niżguraw li l-URL jitgħabba fuq HTTPS. Le, , dan it-token URL għandu juża s-sigurtà tas-saff tat-trasport sabiex il-forma tal-password il-ġdida ma tistax tiġi attakkata u l-password maħluqa mill-utent ġiet trażmessa fuq konnessjoni sigura.
Ukoll għall-URL reset jeħtieġ li żżid limitu ta 'żmien token sabiex il-proċess ta' reset ikun jista 'jitlesta f'ċertu intervall, ngħidu aħna fi żmien siegħa. Dan jiżgura li t-tieqa tal-ħin tal-irrisettjar tinżamm għall-minimu sabiex ir-riċevitur tal-URL tal-irrisettjar ikun jista' jaġixxi biss f'dik it-tieqa żgħira ħafna. Naturalment, l-attakkant jista 'jibda l-proċess ta' reset mill-ġdid, iżda jeħtieġ li jikseb URL ieħor ta 'reset uniku.
Fl-aħħarnett, irridu niżguraw li dan il-proċess jintremew. Ladarba jitlesta l-proċess ta 'reset, it-token għandu jitneħħa sabiex l-URL ta' reset ma jibqax funzjonali. Il-punt preċedenti huwa meħtieġ biex jiġi żgurat li l-attakkant ikollu tieqa żgħira ħafna li matulha jista 'jimmanipula l-URL reset. Barra minn hekk, ovvjament, ladarba r-reset jirnexxi, it-token m'għadux meħtieġ.
Xi wħud minn dawn il-passi jistgħu jidhru żejda żżejjed, iżda ma jfixklux l-użabilità u fil-fatt ittejjeb is-sigurtà, għalkemm f’sitwazzjonijiet li nittamaw li jkunu rari. F'99% tal-każijiet, l-utent se jippermetti r-reset fi żmien qasir ħafna u mhux se jerġa 'jissettja l-password mill-ġdid fil-futur qarib.
Rwol tal-CAPTCHA
Oh, CAPTCHA, il-karatteristika tas-sigurtà li lkoll inħobbu nobgħodu! Fil-fatt, il-CAPTCHA mhix għodda ta’ protezzjoni daqs kemm hi għodda ta’ identifikazzjoni – kemm jekk inti persuna jew robot (jew skript awtomatizzat). L-għan tagħha huwa li tevita s-sottomissjoni awtomatika tal-formola, li, ovvjament, jista jintuża bħala tentattiv biex tikser is-sigurtà. Fil-kuntest tar-resets tal-password, CAPTCHA tfisser li l-funzjoni ta’ reset ma tistax tiġi sfurzata b’mod brutali jew biex tagħmel spam lill-utent jew tipprova tiddetermina l-eżistenza tal-kontijiet (li, ovvjament, mhux se tkun possibbli jekk segwi l-parir fit-taqsima dwar verifika tal-identitajiet).
Naturalment, il-CAPTCHA innifsu mhuwiex perfett; Hemm ħafna preċedenti għall-"hacking" tas-softwer tiegħu u l-kisba ta 'rati ta' suċċess suffiċjenti (60-70%). Barra minn hekk, hemm soluzzjoni murija fil-post tiegħi dwar , fejn tista 'tħallas lin-nies frazzjonijiet ta' ċenteżmu biex issolvi kull CAPTCHA u tikseb rata ta 'suċċess ta' 94%. Jiġifieri, hija vulnerabbli, iżda (ftit) tgħolli l-ostaklu għad-dħul.
Ejja nagħtu ħarsa lejn l-eżempju ta’ PayPal:
F'dan il-każ, il-proċess ta 'reset sempliċement ma jistax jibda sakemm il-CAPTCHA tiġi solvuta, għalhekk teoretikament huwa impossibbli li jiġi awtomatizzat il-proċess. Fit-teorija.
Madankollu, għall-biċċa l-kbira tal-applikazzjonijiet tal-web dan ikun overkill u assolutament id-dritt jirrappreżenta tnaqqis fl-użabilità - in-nies sempliċement ma jħobbux il-CAPTCHA! Barra minn hekk, CAPTCHA hija xi ħaġa li tista 'faċilment tirritorna għaliha jekk meħtieġ. Jekk is-servizz jibda jiġi attakkat (dan huwa fejn l-illoggjar jiġi utli, iżda aktar dwar dan aktar tard), imbagħad iż-żieda ta 'CAPTCHA ma tistax tkun aktar faċli.
Mistoqsijiet u tweġibiet sigrieti
Bil-metodi kollha li kkunsidrajna, stajna nerġgħu nissettjaw il-password sempliċement billi jkollna aċċess għall-kont tal-email. Jien ngħid "biss", iżda, ovvjament, huwa illegali li tikseb aċċess għall-kont tal-email ta 'xi ħadd ieħor. għandu ikun proċess kumpless. Madankollu .
Fil-fatt, il-link hawn fuq dwar il-hacking ta' Yahoo! iservi żewġ skopijiet; l-ewwelnett, turi kemm huwa faċli li Hack (xi) kontijiet tal-email, u t-tieni, juri kif mistoqsijiet ta 'sigurtà ħżiena jistgħu jintużaw b'intenzjoni malizzjuża. Imma nerġgħu lura għal dan aktar tard.
Il-problema bir-resets tal-password 100% bbażati fuq l-email hija li l-integrità tal-kont għas-sit li qed tipprova tirrisettja ssir 100% dipendenti fuq l-integrità tal-kont tal-email. Kull min għandu aċċess għall-email tiegħek għandu aċċess għal kwalunkwe kont li jista’ jiġi reset billi sempliċiment jirċievi email. Għal kontijiet bħal dawn, l-email hija ċ-"ċavetta għall-bibien kollha" tal-ħajja tiegħek online.
Mod wieħed biex jitnaqqas dan ir-riskju huwa li timplimenta mudell ta' mistoqsija u tweġiba tas-sigurtà. Bla dubju li diġà rajthom: agħżel mistoqsija li inti biss tista’ twieġeb għandu taf it-tweġiba, u mbagħad meta tirrisettja l-password tiegħek tintalab għaliha. Dan iżid il-fiduċja li l-persuna li qed tipprova r-reset hija tabilħaqq is-sid tal-kont.
Lura għal Sarah Palin: l-iżball kien li t-tweġibiet għall-mistoqsija/mistoqsijiet tas-sigurtà tagħha setgħu faċilment jinstabu. Partikolarment meta tkun figura pubblika daqshekk sinifikanti, l-informazzjoni dwar l-isem ta’ xebba t’ommok, l-istorja edukattiva, jew fejn xi ħadd seta’ għex fil-passat mhix daqshekk sigrieta. Fil-fatt, ħafna minnha tista 'tinstab minn kważi kulħadd. Dan huwa dak li ġara lil Sarah:
Il-hacker David Kernell kiseb aċċess għall-kont ta’ Palin billi sab dettalji dwar l-isfond tagħha, bħall-università u d-data tat-twelid tagħha, u mbagħad uża l-karatteristika ta’ rkupru tal-password minsija ta’ Yahoo!.
L-ewwelnett, dan huwa żball ta 'disinn min-naħa ta' Yahoo! — billi speċifikat mistoqsijiet sempliċi bħal dawn, il-kumpanija essenzjalment sabotjat il-valur tal-kwistjoni tas-sigurtà, u għalhekk il-protezzjoni tas-sistema tagħha. Naturalment, l-issettjar mill-ġdid tal-passwords għal kont tal-email huwa dejjem aktar diffiċli peress li ma tistax tipprova s-sjieda billi tibgħat email lis-sid (mingħajr ma jkollok it-tieni indirizz), iżda fortunatament m'hemmx ħafna użi biex tinħoloq sistema bħal din illum.
Ejja nerġgħu lura għall-mistoqsijiet tas-sigurtà - hemm għażla li tippermetti lill-utent biex joħloq il-mistoqsijiet tiegħu stess. Il-problema hija li dan jirriżulta f'mistoqsijiet ovvji ħafna:
X'kulur huwa s-sema?
Mistoqsijiet li jagħmlu lin-nies skomdi meta mistoqsija ta’ sigurtà tintuża biex tidentifika persuna (per eżempju, f'call center):
Ma’ min irqadt fil-Milied?
Jew mistoqsijiet franchement stupidi:
Kif tikteb "password"?
Meta niġu għall-mistoqsijiet tas-sigurtà, l-utenti jeħtieġ li jiġu salvati minnhom infushom! Fi kliem ieħor, il-mistoqsija tas-sigurtà għandha tkun iddeterminata mis-sit innifsu, jew aħjar, mitluba serje mistoqsijiet ta' sigurtà li minnhom l-utent jista' jagħżel. U mhux faċli li tagħżel 1; idealment l-utent għandu jagħżel żewġ mistoqsijiet tas-sigurtà jew aktar fil-ħin tar-reġistrazzjoni tal-kont, li mbagħad jintuża bħala t-tieni kanal ta 'identifikazzjoni. Li jkollok mistoqsijiet multipli iżid il-kunfidenza fil-proċess ta 'verifika, u jipprovdi wkoll il-ħila li żżid l-addoċċ (mhux dejjem turi l-istess mistoqsija), flimkien ma' tipprovdi daqsxejn ta 'redundancy f'każ li l-utent attwali jkun nesa l-password.
X'inhi mistoqsija ta' sigurtà tajba? Dan huwa influwenzat minn diversi fatturi:
- Huwa għandu jkun fil-qosor — il-mistoqsija trid tkun ċara u mingħajr ambigwità.
- It-tweġiba trid tkun speċifiċi — m’għandniex bżonn mistoqsija li persuna waħda tista’ twieġeb b’mod differenti
- Risposti possibbli għandhom ikunu diversa - li tistaqsi l-kulur favorit ta' xi ħadd jagħti subsett żgħir ħafna ta' tweġibiet possibbli
- Fittex it-tweġiba għandha tkun kumplessa - jekk it-tweġiba tista 'tinstab faċilment kwalunkwe (ftakar nies f'pożizzjonijiet għoljin), allura huwa ħażin
- It-tweġiba trid tkun permanenti fil-ħin - jekk tistaqsi l-film favorit ta 'xi ħadd, allura sena wara t-tweġiba tista' tkun differenti
Kif jiġri, hemm websajt iddedikata biex tistaqsi mistoqsijiet tajbin imsejħa . Xi wħud mill-mistoqsijiet jidhru pjuttost tajbin, oħrajn ma jgħaddux minn xi wħud mit-testijiet deskritti hawn fuq, speċjalment it-test tal-"faċilità ta 'tfittxija".
Ħallini nuri kif PayPal jimplimenta mistoqsijiet ta' sigurtà u, b'mod partikolari, l-isforz li s-sit jagħmel fl-awtentikazzjoni. Hawn fuq rajna l-paġna biex nibdew il-proċess (b'CAPTCHA), u hawn se nuru x'jiġri wara li ddaħħal l-indirizz tal-email tiegħek u ssolvi l-CAPTCHA:
Bħala riżultat, l-utent jirċievi l-ittra li ġejja:
S'issa kollox huwa pjuttost normali, imma hawn hu x'inhu moħbi wara dan ir-reset URL:
Għalhekk, jidħlu mistoqsijiet dwar is-sigurtà. Fil-fatt, PayPal jippermettilek ukoll li tirrisettja l-password tiegħek billi tivverifika n-numru tal-karta ta 'kreditu tiegħek, għalhekk hemm kanal addizzjonali li ħafna siti m'għandhomx aċċess għalih. Ma nistax nibdel il-password tiegħi mingħajr ma nwieġeb it-tnejn mistoqsija tas-sigurtà (jew li ma tkunx taf in-numru tal-karta). Anke jekk xi ħadd ħataf l-email tiegħi, ma jkunx jista’ jerġa’ jissettja l-password tal-kont PayPal tiegħi sakemm ma jkunx jaf ftit aktar informazzjoni personali dwari. X'informazzjoni? Hawn huma l-għażliet tal-mistoqsijiet tas-sigurtà li joffri PayPal:
Il-kwistjoni tal-iskola u l-isptar tista 'tkun xi ftit iffy f'termini ta' faċilità ta 'tfittxija, iżda l-oħrajn mhumiex ħżiena wisq. Madankollu, biex tittejjeb is-sigurtà, PayPal jeħtieġ identifikazzjoni addizzjonali għal bidliet tweġibiet għall-mistoqsijiet tas-sigurtà:
PayPal huwa eżempju pjuttost utopiku ta’ reset sigur ta’ password: jimplimenta CAPTCHA biex inaqqas il-periklu ta’ attakki b’forza bruta, jeħtieġ żewġ mistoqsijiet ta’ sigurtà, u mbagħad jeħtieġ tip ieħor ta’ identifikazzjoni kompletament differenti biss biex ibiddel it-tweġibiet—u dan wara li l-utent. diġà ffirmat. Naturalment, dan huwa eżattament dak li aħna mistenni minn PayPal; hija istituzzjoni finanzjarja li tittratta somom kbar ta’ flus. Dan ma jfissirx li kull reset tal-password irid isegwi dawn il-passi—il-biċċa l-kbira tal-ħin huwa overkill—iżda huwa eżempju tajjeb għal każijiet fejn is-sigurtà hija negozju serju.
Il-konvenjenza tas-sistema tal-mistoqsijiet tas-sigurtà hija li jekk ma implimentajtx minnufih, tista 'żżidha aktar tard jekk il-livell ta' protezzjoni tar-riżorsi jeħtieġha. Eżempju tajjeb ta 'dan huwa Apple, li biss reċentement implimentat dan il-mekkaniżmu [artiklu miktub fl-2012]. Ladarba bdejt naġġorna l-applikazzjoni fuq l-iPad tiegħi, rajt it-talba li ġejja:
Imbagħad rajt skrin fejn stajt nagħżel diversi pari ta' mistoqsijiet u tweġibiet tas-sigurtà, kif ukoll indirizz elettroniku ta' salvataġġ:
Fir-rigward ta’ PayPal, il-mistoqsijiet huma magħżula minn qabel u xi wħud minnhom huma fil-fatt pjuttost tajbin:
Kull waħda mit-tliet pari mistoqsija/tweġiba tirrappreżenta sett differenti ta’ mistoqsijiet possibbli, għalhekk hemm ħafna modi kif jiġi kkonfigurat kont.
Aspett ieħor li għandek tikkonsidra fir-rigward tat-tweġiba għall-mistoqsija tas-sigurtà tiegħek huwa l-ħażna. Li jkollok database b'test sempliċi fid-database toħloq kważi l-istess theddid bħal password, jiġifieri li l-esponiment tad-database istantanjament jiżvela l-valur u tpoġġi mhux biss l-applikazzjoni f'riskju, iżda applikazzjonijiet potenzjalment kompletament differenti li jużaw l-istess mistoqsijiet tas-sigurtà (għalhekk għal darb'oħra ). Għażla waħda hija hashing sikur (algoritmu qawwi u melħ kriptografikament każwali), iżda b'differenza mill-biċċa l-kbira tal-każijiet tal-ħażna tal-password, jista 'jkun hemm raġuni tajba biex ir-rispons ikun viżibbli bħala test sempliċi. Xenarju tipiku huwa l-verifika tal-identità minn operatur tat-telefon dirett. Naturalment, il-hashing huwa applikabbli wkoll f'dan il-każ (l-operatur jista 'sempliċement idaħħal ir-rispons imsemmi mill-klijent), iżda fl-agħar każ, ir-rispons sigriet għandu jkun jinsab f'xi livell ta' ħażna kriptografika, anke jekk huwa biss encryption simmetrika . Agħti fil-qosor: jittrattaw sigrieti bħal sigrieti!
Aspett finali wieħed tal-mistoqsijiet u t-tweġibiet tas-sigurtà huwa li huma aktar vulnerabbli għall-inġinerija soċjali. Li tipprova tiġbed direttament il-password għall-kont ta 'xi ħadd ieħor hija ħaġa waħda, iżda li tibda konverżazzjoni dwar il-formazzjoni tagħha (mistoqsija ta' sigurtà popolari) hija kompletament differenti. Fil-fatt, tista 'tikkomunika tajjeb ħafna ma' xi ħadd dwar ħafna aspetti tal-ħajja tiegħu li jistgħu joħolqu mistoqsija sigrieta mingħajr ma jqajmu suspetti. Naturalment, il-punt stess ta 'mistoqsija ta' sigurtà huwa li tirrelata mal-esperjenza tal-ħajja ta 'xi ħadd, għalhekk hija memorabbli, u hemm fejn tinsab il-problema - in-nies iħobbu jitkellmu dwar l-esperjenzi tal-ħajja tagħhom! Hemm ftit li tista 'tagħmel dwar dan, biss jekk tagħżel tali għażliet ta' mistoqsijiet ta 'sigurtà sabiex ikunu anqas probabbilment jista 'jinġibed 'il barra mill-inġinerija soċjali.
[Ser jitkompla aktar il-quddiem.]Dwar id-Drittijiet tar-Reklamar
VDSina joffri affidabbli , kull server huwa konness ma 'kanal tal-Internet ta' 500 Megabit u huwa protett minn attakki DDoS b'xejn!
Sors: www.habr.com