{"id":97639,"date":"2020-10-20T02:42:56","date_gmt":"2020-10-20T00:42:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vsyo-chto-vy-hoteli-znat-o-bezopasnom-sbrose-parolej-chast-2"},"modified":"2020-10-20T02:42:56","modified_gmt":"2020-10-20T00:42:56","slug":"vsyo-chto-vy-hoteli-znat-o-bezopasnom-sbrose-parolej-chast-2","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/vsyo-chto-vy-hoteli-znat-o-bezopasnom-sbrose-parolej-chast-2","title":{"rendered":"Tot ce a\u021bi vrut s\u0103 \u0219ti\u021bi despre resetarea sigur\u0103 a parolelor. Partea 2","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Autentificarea cu dou\u0103 factori<\/h2>\n

\nTot ce a\u021bi citit \u00een prima parte<\/a><\/noindex> se refer\u0103 la identificarea pe baza a ceea ce \u0219tie solicitantul<\/em><\/strong>. El \u0219tie adresa sa de e-mail, \u0219tie cum s\u0103 acceseze aceasta (adic\u0103 \u0219tie parola de e-mail) \u0219i \u0219tie r\u0103spunsurile la \u00eentreb\u0103rile secret. <\/p>\n

\"Cunoa\u0219terea\" este considerat\u0103 un factor de autentificare; celelalte dou\u0103 factori frecvent \u00eent\u00e2lni\u021bi sunt ceea ce ave\u021bi<\/em><\/strong>, de exemplu, un dispozitiv fizic, \u0219i cine sunte\u021bi<\/em><\/strong>, de exemplu, amprentele digitale sau retina ochiului.<\/p>\n

\"Tot
\n<\/a><\/noindex>
\n\u00cen cele mai multe cazuri, realizarea identific\u0103rii biologice este greu de implementat, mai ales c\u00e2nd vorbim despre securitatea aplica\u021biilor web, astfel c\u0103 \u00een cazul autentific\u0103rii cu dou\u0103 factori (two factor authentication, 2FA) se folose\u0219te de obicei al doilea atribut \u2014 \"ceea ce ave\u021bi\". Una dintre op\u021biunile populare pentru acest al doilea factor este un token fizic, de exemplu, RSA SecurID<\/a><\/noindex>:<\/p>\n

\"Tot
\nTokenul fizic este adesea folosit pentru autentificare \u00een VPN-uri de corpora\u021bie \u0219i servicii financiare. Pentru autentificarea \u00een serviciu trebuie s\u0103 folosi\u021bi at\u00e2t parola, c\u00e2t \u0219i codul de pe token (care se schimb\u0103 adesea) \u00een combina\u021bie cu un PIN. Teoretic, pentru identificarea atacatorului, acesta ar trebui s\u0103 \u0219tie parola, s\u0103 de\u021bin\u0103 tokenul \u0219i, de asemenea, s\u0103 cunoasc\u0103 PIN-ul tokenului. \u00cen scenariul de resetare a parolei, parola \u00eens\u0103\u0219i este, evident, necunoscut\u0103, dar de\u021binerea tokenului poate fi folosit\u0103 pentru a confirma proprietatea contului. Desigur, ca \u0219i \u00een cazul oric\u0103rei implement\u0103ri de protec\u021bie, aceasta nu asigur\u0103 \u201eprotec\u021bie \u00eempotriva pro\u0219tilor\u201d<\/a><\/noindex>, dar cu siguran\u021b\u0103 cre\u0219te bariera de intrare.<\/p>\n

Una dintre problemele de baz\u0103 ale acestei abord\u0103ri este costul \u0219i logistica implement\u0103rii; vorbim despre furnizarea de dispozitive fizice fiec\u0103rui client \u0219i despre instruirea acestora \u00een noul proces. \u00cen plus, utilizatorii trebuie s\u0103 aib\u0103 dispozitivul cu ei, ceea ce \u00een cazul unui token fizic nu este \u00eentotdeauna garantat. O alt\u0103 op\u021biune este implementarea celui de-al doilea factor de autentificare prin SMS, care \u00een cazul 2FA poate servi ca o confirmare c\u0103 persoana care execut\u0103 procesul de resetare are telefonul mobil al proprietarului contului. Iat\u0103 cum face Google:<\/p>\n

\"Tot
\nDe asemenea, este necesar s\u0103 activa\u021bi verificarea \u00een dou\u0103 etape<\/a><\/noindex>, dar aceasta \u00eenseamn\u0103 c\u0103, la urm\u0103toarea resetare a parolei, telefonul dumneavoastr\u0103 mobil poate deveni al doilea factor de autentificare. Permite\u021bi-mi s\u0103 demonstrez acest lucru folosind iPhone-ul meu din motive care vor deveni clar evidente:<\/p>\n

\"Tot
\nDup\u0103 identificarea adresei de e-mail a contului Google, se determin\u0103 c\u0103 2FA a fost activat \u0219i putem reseta contul printr-o verificare care este trimis\u0103 prin SMS pe telefonul mobil al proprietarului contului:<\/p>\n

\"Tot
\nAcum trebuie s\u0103 alegem \u00eenceputul procesului de resetare:<\/p>\n

\"Tot
\nAceast\u0103 ac\u021biune va trimite un e-mail la adresa \u00eenregistrat\u0103:<\/p>\n

\"Tot
\nAcest e-mail con\u021bine un URL de resetare:<\/p>\n

\"Tot
\nC\u00e2nd se acceseaz\u0103 URL-ul de resetare, un SMS este trimis, iar site-ul web cere introducerea acestuia:<\/p>\n

\"Tot
\nIat\u0103 SMS-ul:<\/p>\n

\"Tot
\nDup\u0103 ce \u00eel introducem \u00een browser, revenim pe teritoriul reset\u0103rii clasice a parolei:<\/p>\n

\"Tot
\nProbabil c\u0103 acesta pare pu\u021bin sibilin, \u0219i a\u0219a este, dar formularul confirm\u0103 c\u0103 persoana care efectueaz\u0103 resetarea are acces la adresa de e-mail \u0219i telefonul mobil al proprietarului contului. Dar acesta poate fi de nou\u0103 ori mai sigur dec\u00e2t resetarea parolei doar prin e-mail. Totu\u0219i, exist\u0103 probleme...<\/p>\n

Problema este legat\u0103 de smartphone-uri. Dispozitivul afi\u0219at mai jos poate verifica doar un singur factor de autentificare \u2014 este capabil s\u0103 primeasc\u0103 SMS-uri, dar nu e-mailuri:<\/p>\n

\"Tot
\n\u00cens\u0103 acest dispozitiv poate primi SMS-uri \u0219i<\/em> prime\u0219te e-mailuri despre resetarea parolei:<\/p>\n

\"Tot
\nProblema este c\u0103 noi consider\u0103m e-mailul ca primul factor de autentificare, iar SMS-ul (sau chiar o aplica\u021bie generatoare de token-uri) ca al doilea, dar ast\u0103zi ele sunt combinate \u00eentr-un singur dispozitiv. Evident, acest lucru \u00eenseamn\u0103 c\u0103, dac\u0103 cineva ob\u021bine acces la smartphone-ul dumneavoastr\u0103, toat\u0103 aceast\u0103 comoditate se reduce la a reveni la un singur canal; acest al doilea factor \"ceva ce ave\u021bi\" \u00eenseamn\u0103 c\u0103 ave\u021bi \u0219i primul factor. \u0218i toate acestea sunt protejate de un PIN de patru cifre\u2026 dac\u0103 telefonul are un PIN deloc. \u0219i<\/em> a fost blocat.<\/p>\n

Da, func\u021bia 2FA implementat\u0103 de Google ofer\u0103 cu siguran\u021b\u0103 o protec\u021bie suplimentar\u0103, dar nu este protejat\u0103 \"\u00eempotriva prostiei\" \u0219i nu depinde complet de dou\u0103 canale complet autonome.<\/p>\n

Resetare prin numele utilizatorului vs. resetare prin adres\u0103 de e-mail<\/h2>\n

\nEste necesar s\u0103 permite\u021bi resetarea parolei doar pe baza adresei de email? Sau utilizatorul ar trebui s\u0103 aib\u0103 posibilitatea de a face resetarea \u0219i \u00een func\u021bie de numele de utilizator? Problema reset\u0103rii pe baza numelui de utilizator este c\u0103 nu exist\u0103 nicio modalitate de a informa utilizatorul despre un nume de utilizator incorect, f\u0103r\u0103 a dezv\u0103lui<\/em> faptul c\u0103 altcineva ar putea avea un cont cu acel nume. \u00cen sec\u021biunea anterioar\u0103, resetarea prin email a garantat c\u0103 proprietarul legitim al acestei adrese de email va primi \u00eentotdeauna feedback f\u0103r\u0103 a dezv\u0103lui public existen\u021ba sa \u00een sistem. Folosind doar numele de utilizator, acest lucru nu este posibil.<\/p>\n

Prin urmare, r\u0103spunsul este scurt: doar email. Dac\u0103 \u00eencerca\u021bi s\u0103 face\u021bi resetarea doar cu ajutorul numelui de utilizator, vor exista situa\u021bii \u00een care utilizatorul se va \u00eentreba ce s-a \u00eent\u00e2mplat, sau<\/em> ve\u021bi dezv\u0103lui existen\u021ba conturilor. Da, este doar un nume de utilizator, nu o adres\u0103 de email \u0219i da, oricine poate alege orice nume de utilizator (disponibil), dar exist\u0103 totu\u0219i o mare probabilitate c\u0103 ve\u021bi dezv\u0103lui indirect proprietarii conturilor din cauza tendin\u021bei utilizatorilor de a folosi numele \u00een mod repetat.<\/p>\n

Ce se \u00eent\u00e2mpl\u0103 atunci c\u00e2nd cineva \u00ee\u0219i uit\u0103 numele de utilizator? S\u0103 presupunem c\u0103 numele de utilizator nu este imediat adresa de email (ceea ce se \u00eent\u00e2mpl\u0103 adesea), procesul seam\u0103n\u0103 cu modul \u00een care \u00eencepe resetarea parolei \u2013 introducem adresa de email \u0219i apoi trimitem un mesaj c\u0103tre aceast\u0103 adres\u0103, f\u0103r\u0103 a-i dezv\u0103lui existen\u021ba. Singura diferen\u021b\u0103 este c\u0103 de aceast\u0103 dat\u0103 mesajul con\u021bine doar numele de utilizator, nu un URL de resetare a parolei. Ori aceasta, ori \u00een email va fi men\u021bionat c\u0103 nu exist\u0103 niciun cont pentru aceast\u0103 adres\u0103.<\/p>\n

Verificarea identit\u0103\u021bii \u0219i exactitatea adreselor de email<\/h2>\n

\nUn aspect cheie al reset\u0103rii parolelor \u0219i, chiar, probabil, cel mai<\/em> important aspect este verificarea identit\u0103\u021bii persoanei care \u00eencearc\u0103 s\u0103 efectueze resetarea. Este cu adev\u0103rat proprietarul legitim al contului sau cineva \u00eencearc\u0103 s\u0103-l sparg\u0103 sau s\u0103-i cauzeze disconfort?<\/p>\n

Este clar c\u0103 emailul este canalul cel mai convenabil \u0219i cel mai r\u0103sp\u00e2ndit pentru verificarea identit\u0103\u021bii. Nu este protejat \u00eempotriva utiliz\u0103rii necorespunz\u0103toare (\u201edin partea unei persoane nepricepute\u201d), iar exist\u0103 numeroase cazuri \u00een care simpla posibilitate de a primi mesaje pe adresa proprietarului contului nu este suficient\u0103, dac\u0103 se cere un grad ridicat de certitudine \u00een identificare (de aceea se folose\u0219te 2FA), totu\u0219i aproape \u00eentotdeauna reprezint\u0103 punctul de plecare \u00een procesul de resetare.<\/p>\n

Dac\u0103 emailul va juca un rol \u00een asigurarea certitudinii, atunci primul pas este s\u0103 ne asigur\u0103m c\u0103 adresa de email este \u00eentr-adev\u0103r corect\u0103. Dac\u0103 cineva a gre\u0219it un simbol, este evident c\u0103 resetarea nu va \u00eencepe. Procesul de verificare a emailului \u00een momentul \u00eenregistr\u0103rii este o metod\u0103 sigur\u0103 de a verifica corectitudinea adresei. To\u021bi am v\u0103zut acest lucru \u00een practic\u0103: te \u00eenregistrezi, \u021bi se trimite un email cu un URL unic, pe care trebuie s\u0103 dai clic, ceea ce confirm\u0103 c\u0103 tu e\u0219ti cu adev\u0103rat proprietarul acestui cont de email. Imposibilitatea de a te conecta la sistem p\u00e2n\u0103 la finalizarea acestui proces garanteaz\u0103 o motiva\u021bie pentru confirmarea adresei.<\/p>\n

La fel ca \u00een multe alte aspecte ale securit\u0103\u021bii, un astfel de model scade utilizabilitatea \u00een schimbul asigur\u0103rii unui grad mai ridicat de siguran\u021b\u0103 \u00een ceea ce prive\u0219te certitudinea identit\u0103\u021bii utilizatorului. Acest lucru poate fi acceptabil pentru un site pe care utilizatorul \u00eel consider\u0103 valoros \u0219i este dispus s\u0103 adauge \u00eenc\u0103 un pas \u00een proces (servicii pl\u0103tite, banking, etc.), dar astfel de cerin\u021be pot alunga utilizatorii dac\u0103 ace\u0219tia percep contul ca fiind \u201ede o folosire\u201d \u0219i \u00eel folosesc, de exemplu, doar ca un instrument pentru a comenta un post.<\/p>\n

Identificarea celui care a ini\u021biat procesul de resetare<\/h2>\n

\nEste evident c\u0103 exist\u0103 motive pentru utilizarea d\u0103un\u0103toare a func\u021biei de resetare, iar atacatorii pot s\u0103 o foloseasc\u0103 \u00een multe moduri diferite. Un truc simplu pe care \u00eel putem folosi pentru a ajuta confirmarea sursei solicit\u0103rii (acest truc de obicei<\/em> func\u021bioneaz\u0103) este ad\u0103ugarea adresei IP a solicitantului \u00een emailul cu propunerea de resetare. Aceasta le ofer\u0103 destinatari o anumit\u0103<\/em> informa\u021bie pentru identificarea sursei solicit\u0103rii.<\/p>\n

Iat\u0103 un exemplu din func\u021bia de resetare, pe care o integrez acum \u00een ASafaWeb:<\/p>\n

\"Tot
\nLink-ul \u201efind out more\u201d (\u201eAfl\u0103 mai multe\u201d) duce utilizatorul pe site ip-adress.com<\/a><\/noindex>, care ofer\u0103 informa\u021bii precum loca\u021bia \u0219i organiza\u021bia care solicit\u0103 resetarea:<\/p>\n

\"Tot
\nDesigur, oricine dore\u0219te s\u0103 \u00ee\u0219i ascund\u0103 identitatea are numeroase metode de obfuscation a adresei sale IP reale, totu\u0219i, acesta este un mod convenabil de a ad\u0103uga o parte a identific\u0103rii solicitantului \u0219i \u00een majoritatea<\/em> cazuri, aceasta \u00ee\u021bi va oferi o idee suficient\u0103 despre cine va face cererea de resetare a parolei.<\/p>\n

Notificare de schimbare prin e-mail<\/h2>\n

\nAcest articol este p\u0103truns de o tem\u0103 - comunica\u021bia; informea\u021bi proprietarul contului c\u00e2t mai mult despre ce se \u00eent\u00e2mpl\u0103 \u00een fiecare etap\u0103 a procesului, f\u0103r\u0103 a dezv\u0103lui nimic care ar putea fi folosit \u00een scopuri r\u0103u inten\u021bionate. Aceasta se aplic\u0103 \u0219i situa\u021biei c\u00e2nd parola s-a schimbat efectiv - informa\u021bi-l pe proprietar!<\/em><\/strong><\/p>\n

Cauzele schimb\u0103rii parolei pot proveni din dou\u0103 surse:<\/p>\n

    \n
  1. Schimbarea parolei dup\u0103 autentificare, deoarece utilizatorul dore\u0219te o parol\u0103 nou\u0103<\/li>\n
  2. Resetarea parolei f\u0103r\u0103 autentificare, deoarece utilizatorul a uitat-o<\/li>\n<\/ol>\n

    \nDe\u0219i acest articol se concentreaz\u0103 \u00een principal pe resetarea parolei, notificarea \u00een primul caz reduce riscul ca cineva s\u0103 schimbe parola f\u0103r\u0103 \u0219tirea proprietarului legitim. Cum poate fi asta? Un scenariu foarte comun este ob\u021binerea parolei de la proprietarul legitim (parol\u0103 reutilizat\u0103, scurs\u0103 dintr-o alt\u0103 surs\u0103; parol\u0103 ob\u021binut\u0103 prin keylogging; parol\u0103 u\u0219or de ghicit etc.), dup\u0103 care atacatorul decide s\u0103 o schimbe, bloc\u00e2nd astfel proprietarul. F\u0103r\u0103 notificarea prin e-mail, adev\u0103ratul proprietar nu va \u0219ti despre schimbarea parolei.<\/p>\n

    Desigur, \u00een cazul reset\u0103rii parolei, proprietarul ar fi trebuit s\u0103 ini\u021bieze procesul (sau s\u0103 ocoleasc\u0103 mijloacele de verificare a identit\u0103\u021bii men\u021bionate mai sus), astfel \u00eenc\u00e2t schimbarea nu ar trebui<\/em> s\u0103 fie o surpriz\u0103 pentru el, totu\u0219i, confirmarea prin e-mail va fi un feedback pozitiv \u0219i o verificare suplimentar\u0103. \u00cen plus, acest lucru asigur\u0103 coeren\u021ba cu scenariul descris mai sus.<\/p>\n

    Oh, \u0219i \u00een cazul \u00een care nu este deja evident - nu trimite\u021bi noua parol\u0103 pe e-mail!<\/em><\/strong> Unora, acest lucru li se poate p\u0103rea amuzant, dar asta se \u00eent\u00e2mpl\u0103<\/a><\/noindex>:<\/p>\n

    \"Tot<\/p>\n

    Jurnale, jurnale, jurnale \u0219i \u00eenc\u0103 pu\u021bin din jurnale<\/h2>\n

    \nFunc\u021bia de resetare a parolei este atr\u0103g\u0103toare pentru atacatori: un atacator vrea fie s\u0103 acceseze contul altcuiva, fie pur \u0219i simplu s\u0103 provoace nepl\u0103ceri proprietarului contului\/sistemului. Multe dintre practicile men\u021bionate mai sus pot reduce probabilitatea abuzurilor, dar nu le previn, iar ele cu siguran\u021b\u0103 nu vor \u00eempiedica oamenii s\u0103 \u00eencerce s\u0103 utilizeze func\u021bia \u00eentr-un mod neprev\u0103zut.<\/p>\n

    Pentru recunoa\u0219terea comportamentului mali\u021bios, o practic\u0103 absolut nepre\u021buit\u0103 este logarea \u0219i m\u0103 refer la logarea foarte detaliat\u0103.<\/em><\/strong>\u00cenregistra\u021bi \u00eencerc\u0103rile nereu\u0219ite de accesare a sistemului, reset\u0103rile de parole, schimbarea parolilor (adic\u0103 atunci c\u00e2nd utilizatorul este deja conectat) \u0219i practic tot ce poate s\u0103 v\u0103 ajute \u00een \u00een\u021belegerea a ceea ce se \u00eent\u00e2mpl\u0103; acest lucru va fi foarte util \u00een viitor. \u00cenregistra\u021bi \u00een loguri chiar \u0219i p\u0103r\u021bi separate ale procesului, de exemplu, o func\u021bie bun\u0103 de resetare ar trebui s\u0103 includ\u0103 ini\u021bierea reset\u0103rii prin intermediul site-ului web (\u00eenregistra\u021bi solicit\u0103rile \u0219i \u00eencerc\u0103rile de accesare pentru resetare cu un nume de utilizator sau o adres\u0103 de email gre\u0219it\u0103), \u00eenregistra\u021bi vizitele site-ului web prin URL-ul de resetare (inclusiv \u00eencerc\u0103rile de utilizare a unui token gre\u0219it) \u0219i apoi \u00eenregistra\u021bi \u00een log succesul sau e\u0219ecul r\u0103spunsului la \u00eentrebarea secret\u0103.<\/em> C\u00e2nd vorbesc despre logare, m\u0103 refer nu doar la \u00eenregistrarea faptului de accesare a paginii, ci la colectarea c\u00e2t mai multor informa\u021bii,<\/p>\n

    dac\u0103 nu sunt confiden\u021biale. Prietenii,<\/em><\/strong>v\u0103 rog, nu \u00eenregistra\u021bi parolele \u00een loguri! \u00cen loguri trebuie s\u0103 \u00eenregistra\u021bi identitatea utilizatorului autorizat (el va fi autorizat dac\u0103<\/em><\/strong> schimb\u0103 parola existent\u0103 sau \u00eencearc\u0103 s\u0103 reseteze<\/em> parola altuia dup\u0103 ce a intrat \u00een sistem), orice nume de utilizator sau adrese de email \u00eencercate \u0219i orice token-uri de resetare pe care \u00eencearc\u0103 s\u0103 le foloseasc\u0103. Dar, de asemenea, este important s\u0103 \u00eenregistra\u021bi \u00een loguri aspecte precum adresele IP \u0219i, dac\u0103 este posibil, chiar \u0219i antetele cererilor. Aceasta v\u0103 permite s\u0103 recrea\u021bi nu doar<\/em> ce utilizatorul (sau atacatorul) \u00eencearc\u0103 s\u0103 fac\u0103, ci \u0219i<\/em> cine este el.<\/em> Delegarea responsabilit\u0103\u021bii altor executan\u021bi.<\/p>\n

    Delegarea responsabilit\u0103\u021bii c\u0103tre al\u021bi executan\u021bi<\/h2>\n

    \nDac\u0103 crede\u021bi c\u0103 tot acest lucru reprezint\u0103 o cantitate imens\u0103 de munc\u0103, nu sunte\u021bi singuri. \u00cen realitate, construirea unui sistem de gestionare a conturilor de \u00eencredere este o sarcin\u0103 complex\u0103. Nu este vorba doar de dificultatea tehnic\u0103; sunt multe subtilit\u0103\u021bi implicate. Aceasta nu se limiteaz\u0103 doar la resetare; exist\u0103 un \u00eentreg proces de \u00eenregistrare, stocarea \u00een siguran\u021b\u0103 a parolelor, gestionarea mai multor \u00eencerc\u0103ri gre\u0219ite de autentificare etc. Eu promovez ideea de a utiliza func\u021bionalitate predefinit\u0103, cum ar fi furnizorul de membership ASP.NET<\/a><\/noindex>, dar dincolo de aceasta, mai trebuie f\u0103cut mult.<\/p>\n

    Ast\u0103zi exist\u0103 numero\u0219i furnizori externi, care \u00ee\u0219i asum\u0103 cu bucurie toate nepl\u0103cerile \u0219i abstractizeaz\u0103 totul \u00eentr-un singur serviciu gestionat. Printre aceste servicii se num\u0103r\u0103 OpenID, OAuth \u0219i chiar Facebook. Unii oameni cred f\u0103r\u0103 limite \u00een acest model<\/a><\/noindex> (OpenID s-a dovedit a fi foarte de succes pe Stack Overflow), dar al\u021bii \u00eel consider\u0103 dintr-o dat\u0103 un co\u0219mar<\/a><\/noindex>.<\/p>\n

    F\u0103r\u0103 \u00eendoial\u0103, un serviciu precum OpenID rezolv\u0103 multe probleme pentru dezvoltatori, \u00eens\u0103 este, de asemenea, clar c\u0103 adaug\u0103 noi provoc\u0103ri. Au ele vreo importan\u021b\u0103? Da, dar este evident c\u0103 nu observ\u0103m o utilizare pe scar\u0103 larg\u0103 a serviciilor furnizorilor de autentificare. B\u0103ncile, companiile aeriene \u0219i chiar magazinele \u2013 toate implementeaz\u0103 propriile mecanisme de autentificare, iar motivele pentru aceasta sunt foarte \u00eentemeiate.<\/p>\n

    Resetare mali\u021bioas\u0103<\/h2>\n

    \nUn aspect important al fiec\u0103rui exemplu men\u021bionat mai sus este c\u0103 vechea parol\u0103 este considerat\u0103 inutil\u0103 doar dup\u0103 confirmarea identit\u0103\u021bii proprietarului contului<\/em><\/strong>. Este important, deoarece dac\u0103 contul ar putea fi resetat la<\/em> f\u0103r\u0103 verificarea identit\u0103\u021bii, ar permite o multitudine de ac\u021biuni mali\u021bioase.<\/p>\n

    Iat\u0103 un exemplu: cineva particip\u0103 la o licita\u021bie pe un site de licita\u021bii, iar aproape de finalul procesului de licita\u021bie, el blocheaz\u0103 concuren\u021bii, ini\u021biind procesul de resetare, elimin\u00e2ndu-i astfel din licita\u021bie. Este evident c\u0103, dac\u0103 o func\u021bie de resetare prost conceput\u0103 poate fi exploatat\u0103, aceasta poate duce la rezultate negative severe. Merit\u0103 men\u021bionat c\u0103 blocarea conturilor prin \u00eencerc\u0103ri gre\u0219ite de autentificare reprezint\u0103 o situa\u021bie similar\u0103, dar aceasta este deja o tem\u0103 pentru un alt post.<\/p>\n

    A\u0219a cum am spus mai devreme, dac\u0103 le oferi utilizatorilor anonimi posibilitatea de a reseta parola pentru orice cont, doar cunosc\u00e2nd adresa de email, aceasta devine o situa\u021bie perfect\u0103 pentru un atac de tip \u201erefuz de serviciu\u201d. Acesta poate s\u0103 nu fie tipul de atac de care suntem obi\u0219nui\u021bi s\u0103 vorbim, dar nu exist\u0103 o metod\u0103 mai rapid\u0103 de a bloca accesul la un cont dec\u00e2t printr-o func\u021bie de resetare a parolei prost g\u00e2ndit\u0103. DoS<\/a><\/noindex>, despre care discut\u0103m de obicei, dar nu exist\u0103 o modalitate mai rapid\u0103 de a restric\u021biona accesul la un cont dec\u00e2t cu ajutorul unei func\u021bii de resetare a parolei prost concepute.<\/p>\n

    Punctul cel mai slab<\/h2>\n

    \nDin perspectiv\u0103 de securitate a unui cont, tot ceea ce am scris mai sus este excelent, \u00eens\u0103 este \u00eentotdeauna important s\u0103 \u021bii cont de ecosistemul din jurul contului pe care \u00eel protejezi. Permite-mi s\u0103 dau un exemplu:<\/p>\n

    ASafaWeb este g\u0103zduit pe un serviciu uimitor oferit de AppHarbor. Procesul de resetare a contului de g\u0103zduire se desf\u0103\u0219oar\u0103 astfel:<\/p>\n

    Pasul 1:<\/strong><\/p>\n

    \"Tot
    \nPasul 2:<\/strong><\/p>\n

    \"Tot
    \nPasul 3:<\/strong><\/p>\n

    \"Tot
    \nPasul 4:<\/strong><\/p>\n

    \"Tot
    \nDup\u0103 ce am citit toate informa\u021biile anterioare, este deja u\u0219or de \u00een\u021beles ce aspecte am implementa pu\u021bin diferit \u00eentr-o lume ideal\u0103. Cu toate acestea, vreau s\u0103 subliniez c\u0103, dac\u0103 a\u0219 publica un site similar cu ASafaWeb pe serviciul AppHarbor, iar apoi a\u0219 crea \u00eentreb\u0103ri \u0219i r\u0103spunsuri secrete excelente, a\u0219 ad\u0103uga un al doilea factor de autentificare \u0219i a\u0219 urma toate celelalte reguli, acest lucru nu va elimina faptul c\u0103 punctul cel mai slab din \u00eentregul proces va putea s\u0103 sfideze toate acestea. Dac\u0103 cineva reu\u0219e\u0219te s\u0103 se autentifice \u00een AppHarbor folosind informa\u021biile mele, va putea schimba parola oric\u0103rui cont ASafaWeb cu cea dorit\u0103!<\/p>\n

    Ideea este c\u0103 rezisten\u021ba implement\u0103rii securit\u0103\u021bii trebuie privit\u0103 \u00een ansamblu: este necesar s\u0103 simulezi amenin\u021b\u0103rile fiec\u0103rei puncte de intrare a sistemului, chiar dac\u0103 acesta este un proces superficial, cum ar fi logarea \u00een AppHarbor. Aceasta ar trebui s\u0103 \u00eemi ofere o idee clar\u0103 despre c\u00e2t de mult efort trebuie s\u0103 investesc \u00een procesul de resetare a parolei ASafaWeb.<\/p>\n

    Conect\u0103m totul<\/h2>\n

    \nAcest post con\u021bine o cantitate mare de informa\u021bii, a\u0219a c\u0103 vreau s\u0103 \u00eel concentrez \u00eentr-un simplu grafic vizual:<\/p>\n

    \"Tot
    \nNu uita\u021bi c\u0103 ar trebui s\u0103 efectua\u021bi un log detaliat pentru fiecare dintre aceste puncte. Asta e tot, este simplu!<\/p>\n

    Concluzii<\/h2>\n

    \nPostarea mea pare cuprinz\u0103toare, totu\u0219i exist\u0103 multe materiale suplimentare pe care le ar putea<\/em> includ\u0103-l, dar am decis s\u0103 m\u0103 ab\u021bin de la acest subiect pentru concizie: rolul adresei de e-mail de recuperare, situa\u021bia \u00een care pierde\u021bi accesul la e-mailul asociat contului (de exemplu, v-a\u021bi dat demisia de la munc\u0103) \u0219i a\u0219a mai departe. A\u0219a cum am spus anterior, func\u021bia de resetare nu este at\u00e2t de complex\u0103, doar c\u0103 exist\u0103 multe perspective asupra acesteia.<\/p>\n

    Chiar dac\u0103 resetarea nu este at\u00e2t de complicat\u0103, adesea este implementat\u0103 gre\u0219it. Mai sus am v\u0103zut c\u00e2teva exemple c\u00e2nd implementarea poate<\/em> a dus la probleme, \u0219i exist\u0103 mult mai multe cazuri c\u00e2nd o resetare gre\u0219it\u0103 cu adev\u0103rat<\/em> a cauzat probleme. Recent s-a descoperit c\u0103 resetarea parolei a fost folosit\u0103 pentru a fura bitcoin \u00een valoare de 87 de mii de dolari<\/a><\/noindex>. Aceasta este o consecin\u021b\u0103 extrem de negativ\u0103!<\/p>\n

    A\u0219adar, fi\u021bi mai aten\u021bi cu func\u021biile voastre de resetare, modela\u021bi amenin\u021b\u0103rile<\/a><\/noindex> \u00een diferite puncte, \u0219i atunci c\u00e2nd proiecta\u021bi func\u021bia, nu v\u0103 scoate\u021bi p\u0103l\u0103ria neagr\u0103, deoarece exist\u0103 o mare probabilitate ca cineva s\u0103 o poarte!<\/p>\n

    <\/p>\n

    \u00cen numele publicit\u0103\u021bii<\/h4>\n

    \nVDSina<\/b> ofer\u0103 servicii ieftine servere \u00eenchiriate<\/a><\/noindex> cu plat\u0103 pe zi, fiecare server fiind conectat la un canal de internet de 500 Megabi\u021bi \u0219i protejat gratuit \u00eempotriva atacurilor DDoS!<\/p>\n

    \"Tot<\/a><\/noindex>
    \n
    Sursa:     habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

    \u0414\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u0430\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0412\u0441\u0451 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u043e\u0435 \u0432\u0430\u043c\u0438 \u0432 \u043f\u0435\u0440\u0432\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u043a\u0430\u0441\u0430\u043b\u043e\u0441\u044c \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e \u0437\u043d\u0430\u0435\u0442 \u0437\u0430\u043f\u0440\u0430\u0448\u0438\u0432\u0430\u044e\u0449\u0438\u0439. \u041e\u043d \u0437\u043d\u0430\u0435\u0442 \u0441\u0432\u043e\u0439 \u0430\u0434\u0440\u0435\u0441 \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u043e\u0439 \u043f\u043e\u0447\u0442\u044b, \u0437\u043d\u0430\u0435\u0442, \u043a\u0430\u043a \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043a \u043d\u0435\u0439 \u0434\u043e\u0441\u0442\u0443\u043f (\u0442.\u0435. \u0437\u043d\u0430\u0435\u0442 \u0441\u0432\u043e\u0439 \u043f\u0430\u0440\u043e\u043b\u044c \u043e\u0442 \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u043e\u0439 \u043f\u043e\u0447\u0442\u044b) \u0438 \u0437\u043d\u0430\u0435\u0442 \u043e\u0442\u0432\u0435\u0442\u044b \u043d\u0430 \u0441\u0435\u043a\u0440\u0435\u0442\u043d\u044b\u0435 \u0432\u043e\u043f\u0440\u043e\u0441\u044b. \u00ab\u0417\u043d\u0430\u043d\u0438\u0435\u00bb \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0444\u0430\u043a\u0442\u043e\u0440\u043e\u043c \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438; \u0434\u0432\u0443\u043c\u044f \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0451\u043d\u043d\u044b\u043c\u0438 \u0444\u0430\u043a\u0442\u043e\u0440\u0430\u043c\u0438 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u0442\u043e, \u0447\u0442\u043e \u0443 \u0432\u0430\u0441 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":97640,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-97639","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Tot ce a\u021bi dorit s\u0103 \u0219ti\u021bi despre resetarea sigur\u0103 a parolelor. Partea 2 | ProHoster","description":"Autentificare \u00een dou\u0103 etape Tot ceea ce a\u021bi citit \u00een prima parte se referea la identificare pe baza faptului c\u0103.","canonical_url":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/vsyo-chto-vy-hoteli-znat-o-bezopasnom-sbrose-parolej-chast-2","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"ro_RO","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u0441\u0451, \u0447\u0442\u043e \u0432\u044b \u0445\u043e\u0442\u0435\u043b\u0438 \u0437\u043d\u0430\u0442\u044c \u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u043c \u0441\u0431\u0440\u043e\u0441\u0435 \u043f\u0430\u0440\u043e\u043b\u0435\u0439. \u0427\u0430\u0441\u0442\u044c 2 | ProHoster","og:description":"\u0414\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u0430\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0412\u0441\u0451 \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043d\u043d\u043e\u0435 \u0432\u0430\u043c\u0438 \u0432 \u043f\u0435\u0440\u0432\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u043a\u0430\u0441\u0430\u043b\u043e\u0441\u044c \u0438\u0434\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0438 \u0442\u043e\u0433\u043e, \u0447\u0442\u043e.","og:url":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/vsyo-chto-vy-hoteli-znat-o-bezopasnom-sbrose-parolej-chast-2","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-10-20T00:42:56+00:00","article:modified_time":"2020-10-20T00:42:56+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"97639","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:16:25","updated":"2022-10-03 07:14:42","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/posts\/97639","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/comments?post=97639"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/posts\/97639\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/media\/97640"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/media?parent=97639"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/categories?post=97639"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/ro\/wp-json\/wp\/v2\/tags?post=97639"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}