Uthibitishaji wa mambo mawili
Kila kitu unachosoma ndani kuhusiana na kitambulisho kwa kuzingatia ukweli kwamba mwombaji anajua. Anajua barua pepe yake, anajua jinsi ya kuipata (yaani anajua nenosiri lake la barua pepe), na anajua majibu ya maswali ya usalama.
"Maarifa" inachukuliwa kuwa sababu moja ya uthibitishaji; mambo mengine mawili ya kawaida ni ulicho nacho, kwa mfano, kifaa cha kimwili, na wewe ni nanikama vile alama za vidole au retina ya jicho.
Katika hali nyingi, kufanya kitambulisho cha kibaolojia haiwezekani, haswa tunapozungumza juu ya usalama wa programu za wavuti, kwa hivyo kwa uthibitishaji wa sababu mbili (uthibitishaji wa sababu mbili, 2FA), sifa ya pili kawaida hutumiwa - "ulichonacho". Tofauti moja maarufu juu ya jambo hili la pili ni ishara ya mwili, kwa mfano, :
Ishara halisi hutumiwa mara nyingi kwa uthibitishaji katika VPN za shirika na huduma za kifedha. Ili kuthibitisha huduma, unahitaji kutumia nenosiri na msimbo kwenye tokeni (ambayo hubadilika mara kwa mara) pamoja na PIN. Kinadharia, ili kutambua mshambuliaji, lazima ajue nenosiri, awe na ishara, na pia ajue PIN ya ishara. Katika hali ya kuweka upya nenosiri, nenosiri lenyewe ni dhahiri halijulikani, lakini umiliki wa tokeni unaweza kutumika kuthibitisha umiliki wa akaunti. Kwa kweli, kama ilivyo kwa utekelezaji wowote wa usalama, , lakini kwa hakika huongeza kizuizi cha kuingia.
Moja ya matatizo makuu ya njia hii ni gharama na vifaa vya utekelezaji; tunazungumza kuhusu kukabidhi vifaa halisi kwa kila mteja na kuwafundisha mchakato mpya. Kwa kuongeza, watumiaji wanahitaji kuwa na kifaa pamoja nao, ambayo si mara zote kesi na ishara ya kimwili. Chaguo jingine ni kutekeleza kipengele cha pili cha uthibitishaji kwa kutumia SMS, ambayo katika kesi ya 2FA inaweza kutumika kama uthibitisho kwamba mtu anayefanya mchakato wa kurejesha ana simu ya mkononi ya mmiliki wa akaunti. Hivi ndivyo Google hufanya:
Pia unahitaji kuwezesha , lakini hii inamaanisha kuwa wakati ujao unapoweka upya nenosiri lako, simu yako ya mkononi inaweza kuwa sababu ya pili ya uthibitishaji. Acha nionyeshe hii kwa kutumia iPhone yangu kama mfano, kwa sababu ambazo zitakuwa wazi hivi karibuni:
Baada ya kutambua anwani ya barua pepe ya akaunti, Google huamua kuwa 2FA imewezeshwa na tunaweza kuweka upya akaunti kwa kutumia uthibitishaji, ambao hutumwa kupitia SMS kwa simu ya mkononi ya mmiliki wa akaunti:
Sasa tunahitaji kuchagua mwanzo wa mchakato wa kuweka upya:
Kitendo hiki hutuma barua pepe kwa anwani iliyosajiliwa:
Barua pepe hii ina URL iliyowekwa upya:
Wakati wa kufikia URL ya kuweka upya, SMS inatumwa na tovuti inaiuliza:
Hapa kuna SMS:
Baada ya kuiandika kwenye kivinjari, tumerudi katika eneo la uwekaji upya nenosiri la kawaida:
Labda hii inasikika kama kitenzi kidogo, na ndivyo ilivyo, lakini fomu inathibitisha kwamba mtu anayerejesha anaweza kufikia anwani ya barua pepe ya mwenye akaunti na simu ya mkononi. Lakini inaweza kuwa salama mara tisa kuliko kuweka upya nenosiri lako kupitia barua pepe pekee. Walakini, kuna shida ...
Tatizo linahusiana na simu mahiri. Kifaa kilichoonyeshwa hapa chini kinaweza kuthibitisha kipengele kimoja tu cha uthibitishaji - kinaweza kupokea SMS, lakini si barua pepe:
Hata hivyo, kifaa hiki kinaweza kupokea SMS ΠΈ pokea barua pepe za kuweka upya nenosiri:
Shida ni kwamba tunachukulia barua pepe kama sababu ya kwanza ya uthibitishaji, na SMS (au hata programu ya kutoa ishara) kama ya pili, lakini leo zimeunganishwa kwenye kifaa kimoja. Bila shaka, hii ina maana kwamba ikiwa mtu anapata smartphone yako, basi urahisi huu wote unakuja kwa ukweli kwamba tunarudi kwenye kituo sawa tena; jambo hili la pili "ulichonacho" ina maana kwamba una kipengele cha kwanza pia. Na yote inalindwa na PIN moja ya tarakimu nne...ikiwa simu ina PIN kabisa. ΠΈ alizuiwa.
Ndiyo, kipengele cha Google cha 2FA hakika hutoa ulinzi wa ziada, lakini sio ujinga, na hakika haitegemei chaneli mbili zinazojitegemea kabisa.
Weka upya kwa jina la mtumiaji dhidi ya kuweka upya kwa anwani ya barua pepe
Je, niruhusu tu kuweka upya kwa anwani ya barua pepe? Au je, mtumiaji anapaswa kuweka upya kwa jina pia? Shida ya kuweka upya kwa jina la mtumiaji ni kwamba hakuna njia ya kumjulisha mtumiaji jina la mtumiaji lisilo sahihi, bila kufichua ili mtu mwingine awe na akaunti yenye jina hilo. Katika sehemu iliyotangulia, uwekaji upya wa barua pepe ulihakikisha kuwa mmiliki halali wa barua pepe hiyo angepokea maoni kila wakati bila kufichua uwepo wao kwenye mfumo. Hili haliwezi kufanywa kwa kutumia jina la mtumiaji pekee.
Kwa hivyo jibu fupi ni: barua pepe tu. Ukijaribu kuweka upya na jina la mtumiaji tu, basi kutakuwa na matukio ambapo mtumiaji atashangaa kilichotokea, au utafichua uwepo wa akaunti. Ndiyo, ni jina la mtumiaji tu, si anwani ya barua pepe, na ndiyo, mtu yeyote anaweza kuchagua jina lolote la mtumiaji (lililopo), lakini bado kuna uwezekano mkubwa wa kuwafichua wamiliki wa akaunti kwa njia isiyo ya moja kwa moja kutokana na tabia ya watumiaji kutumia tena jina.
Kwa hivyo ni nini hufanyika mtu anaposahau jina lake la mtumiaji? Kwa kuzingatia kwamba jina la mtumiaji sio mara moja barua pepe (ambayo mara nyingi ni kesi), basi mchakato ni sawa na jinsi upyaji wa nenosiri huanza - ingiza barua pepe, na kisha utume ujumbe kwa anwani hii bila kufichua kuwepo kwake. Tofauti pekee ni kwamba wakati huu ujumbe una jina la mtumiaji pekee na sio URL ya kuweka upya nenosiri. Labda hiyo, au barua pepe itasema kwamba hakuna akaunti ya anwani hii.
Uthibitishaji wa Utambulisho na Usahihi wa Anwani za Barua pepe
Kipengele muhimu cha kuweka upya nywila, na labda hata wengi kipengele muhimu ni kuthibitisha utambulisho wa mtu anayejaribu kuweka upya. Je, huyu ndiye mmiliki halali wa akaunti, au kuna mtu anayejaribu kuiingilia au kusababisha usumbufu kwa mmiliki?
Bila shaka, barua pepe ndiyo njia rahisi zaidi na ya kawaida ya uthibitishaji wa utambulisho. Sio ujinga, na kuna visa vingi ambapo kuweza kupokea barua tu kwenye anwani ya mmiliki wa akaunti haitoshi ikiwa kiwango cha juu cha kujiamini katika kitambulisho kinahitajika (ndiyo maana 2FA inatumika), lakini karibu kila wakati mahali pa kuanzia. weka upya mchakato.
Ikiwa barua pepe itakuwa na jukumu katika kutoa imani, basi hatua ya kwanza ni kuhakikisha kuwa anwani ya barua pepe ni sahihi. Ikiwa mtu alifanya makosa na ishara, basi, ni wazi, upya hautaanza. Mchakato wa uthibitishaji wa barua pepe wakati wa usajili ni njia ya kuaminika ya kuthibitisha usahihi wa anwani. Sote tumeiona ikitekelezwa: unapojisajili, unatumiwa barua pepe yenye URL ya kipekee ya kubofya, ambayo inathibitisha kuwa wewe ndiwe mmiliki halisi wa akaunti hiyo ya barua pepe. Kutoweza kuingia hadi mchakato huu ukamilike kunahakikisha kuwa kuna motisha ya kuthibitisha anwani.
Kama ilivyo kwa vipengele vingine vingi vya usalama, muundo huu hupunguza utumiaji badala ya kutoa kiwango cha usalama kilichoongezeka kulingana na imani katika utambulisho wa mtumiaji. Hili linaweza kukubalika kwa tovuti ambayo mtumiaji anathamini sana usajili na ataongeza kwa furaha hatua nyingine katika mchakato (huduma zinazolipishwa, benki, n.k.), lakini mambo kama haya yanaweza kumfukuza mtumiaji ikiwa ataona akaunti kama "moja- timeβ na hutumia , kwa mfano, kama njia ya kutoa maoni kwenye chapisho.
Utambulisho wa ni nani aliyeanzisha mchakato wa kuweka upya
Ni wazi, kuna sababu za kutumia kipengele cha kuweka upya kwa nia mbaya, na washambuliaji wanaweza kukitumia kwa njia nyingi tofauti. Ujanja mmoja rahisi tunaoweza kutumia ili kusaidia kuthibitisha asili ya ombi (hila hii kawaida works) ni nyongeza ya barua iliyo na pendekezo la kuweka upya anwani ya IP ya mwombaji. Inampa mpokeaji baadhi habari ili kubaini chanzo cha ombi.
Hapa kuna mfano kutoka kwa kitendakazi cha kuweka upya ambacho kwa sasa ninaunda ASafaWeb:
Kiungo cha "jua zaidi" kinampeleka mtumiaji kwenye tovuti , kutoa taarifa kama vile eneo na shirika la mwombaji wa kuweka upya:
Kwa kweli, mtu yeyote ambaye anataka kuficha utambulisho wake ana njia nyingi za kuficha anwani yake halisi ya IP, lakini hii ni njia rahisi ya kuongeza kitambulisho cha sehemu ya mwombaji, na katika wengi Katika baadhi ya matukio, hii itakupa wazo zuri la nani atakamilisha ombi la kuweka upya nenosiri.
Arifa ya Mabadiliko ya Barua Pepe
Chapisho hili limepenyezwa na mada moja - mawasiliano; mwambie mmiliki wa akaunti kadri uwezavyo kuhusu kile kinachotokea katika kila hatua ya mchakato, bila kufichua chochote ambacho kinaweza kutumika kwa nia mbaya. Vile vile hutumika kwa hali ambapo nenosiri limebadilika - mjulishe mmiliki!
Sababu za kubadilisha nenosiri zinaweza kuwa vyanzo viwili:
- Nenosiri hubadilika baada ya kuingia kwa sababu mtumiaji anataka nenosiri jipya
- Weka upya nenosiri bila kuingia kwa sababu mtumiaji alilisahau
Ingawa chapisho hili mara nyingi linahusu kuweka upya, kuarifu la kwanza kunapunguza hatari ya mtu kubadilisha nenosiri bila mmiliki halali kujua. Je, hii inawezaje kutokea? Hali ya kawaida sana ni kupata nenosiri la mmiliki halali (nenosiri lililotumiwa tena lililovuja kutoka kwa chanzo kingine, nenosiri lililopatikana kwa ufunguo wa ufunguo, rahisi nadhani nenosiri, nk), baada ya hapo mshambuliaji anaamua kuibadilisha, na hivyo kumzuia mmiliki. Bila arifa ya barua pepe, mmiliki halisi hatafahamu mabadiliko ya nenosiri.
Bila shaka, katika tukio la kuweka upya nenosiri, mmiliki anapaswa kuwa tayari ameanzisha mchakato mwenyewe (au kupita zana za uthibitishaji wa kitambulisho zilizoelezwa hapo juu), hivyo kubadilisha. haipaswi kuja kama mshangao kwake, hata hivyo, uthibitisho wa barua pepe utakuwa maoni mazuri na uthibitishaji wa ziada. Kwa kuongeza, hutoa umoja na hali iliyoelezwa hapo juu.
Lo, na ikiwa haijulikani bado - usitume nenosiri jipya kwa barua! Inaweza kufanya baadhi ya watu kucheka, lakini :
Magogo, magogo, magogo na magogo mengine zaidi
Kipengele cha kuweka upya nenosiri kinawavutia washambuliaji: mvamizi anataka kupata ufikiaji wa akaunti ya mtu mwingine, au kusababisha usumbufu kwa mmiliki wa akaunti/mfumo. Mengi ya mazoea yaliyoelezwa hapo juu hupunguza uwezekano wa matumizi mabaya lakini hayazuii, na kwa hakika hayatawazuia watu kujaribu kutumia kipengele kwa njia isiyotarajiwa.
Kwa kugundua tabia mbaya, ukataji miti ni mazoezi muhimu sana, na ninamaanisha ukataji wa kina sana. Nasa majaribio yaliyoshindikana ya kuingia, kuweka upya nenosiri, kubadilisha manenosiri (yaani wakati mtumiaji tayari ameingia) na karibu chochote kinachoweza kukusaidia kuelewa kinachoendelea; hii itakuwa muhimu sana katika siku zijazo. Kurekebisha katika kumbukumbu hata mtu binafsi sehemu mchakato, kwa mfano, kipengele kizuri cha kuweka upya kinapaswa kujumuisha kuanzisha upya kupitia tovuti (kunasa ombi la kuweka upya na majaribio ya kuingia ukitumia jina la mtumiaji au barua pepe isiyo sahihi), kukamata ziara ya tovuti iliyo kwenye URL ya kuweka upya (pamoja na majaribio ya kutumia anwani isiyo sahihi). ishara), na kisha uandikishe kufaulu au kutofaulu kwa jibu la swali la usalama.
Ninapozungumza juu ya ukataji miti, simaanishi tu kurekodi ukweli kwamba ukurasa umepakia, lakini pia kukusanya habari nyingi iwezekanavyo, kama sio siri. Jamani, tafadhali usiweke nywila! Kumbukumbu zinahitaji kusajili kitambulisho cha mtumiaji aliyeidhinishwa (ataidhinishwa ikiwa yeye mabadiliko nenosiri lililopo au kujaribu kuweka upya nenosiri la mtu mwingine baada ya kuingia), majina yoyote ya watumiaji au anwani za barua pepe inazojaribu, pamoja na ishara zozote za kuweka upya inazojaribu kutumia. Lakini inafaa pia kuweka vitu kama anwani za IP na, ikiwezekana, hata omba vichwa. Hii hukuruhusu kuunda upya sio tu kwamba mtumiaji (au mshambuliaji) anajaribu kufanya, lakini pia nani yeye ni kama.
Kukabidhi majukumu kwa watendaji wengine
Ikiwa unafikiri kwamba yote haya yanawakilisha kiasi kikubwa cha kazi, basi hauko peke yako. Kwa kweli, kujenga mfumo wa kuaminika wa kufanya kazi na akaunti sio kazi rahisi. Sio kwamba ni ngumu kiufundi, ni kwamba ina sifa nyingi. Sio tu kuhusu kuweka upya, kuna mchakato mzima wa kujiandikisha, kuhifadhi nywila kwa usalama, kushughulikia majaribio mengi mabaya ya kuingia, na kadhalika na kadhalika. Ingawa zaidi ya hayo, mengi zaidi yanahitajika kufanywa.
Leo, kuna wachuuzi wengi wa wahusika wengine ambao wanafurahi kuondoa maumivu nayo na kuyatoa yote katika huduma moja inayosimamiwa. Huduma hizi ni pamoja na OpenID, OAuth, na hata Facebook. Watu wengine (OpenID imefanikiwa sana kwenye Stack Overflow), lakini zingine .
Bila shaka, huduma kama OpenID hutatua shida nyingi za msanidi programu, lakini pia ni hakika kwamba inaongeza mpya. Je, wana jukumu lolote? Ndiyo, lakini ni wazi kwamba hatuoni matumizi makubwa ya huduma za watoa huduma wa uthibitishaji. Benki, mashirika ya ndege, na hata maduka yote yanatekeleza utaratibu wao wa uthibitishaji, na ni wazi kuna sababu nzuri sana za hili.
Rudisha kwa Uovu
Kipengele muhimu cha kila moja ya mifano hapo juu ni kwamba nywila ya zamani inachukuliwa kuwa haina maana tu baada ya kuthibitisha utambulisho wa mmiliki wa akaunti. Hii ni muhimu kwa sababu ikiwa akaunti inaweza kuwekwa upya kwa ukaguzi wa utambulisho, hii ingetoa fursa kwa kila aina ya shughuli hasidi.
Huu ni mfano: mtu ananadi kwenye tovuti ya mnada, na kuelekea mwisho wa mchakato wa zabuni, huwazuia washindani kwa kuanzisha mchakato wa kuweka upya, na hivyo kuwaondoa kwenye zabuni. Kwa wazi, ikiwa kazi ya kuweka upya iliyoundwa vibaya inaweza kutumika vibaya, inaweza kusababisha matokeo mabaya makubwa. Inafaa kumbuka kuwa kuzuia akaunti zilizo na majaribio batili ya kuingia ni hali sawa, lakini hii ni mada ya chapisho lingine.
Kama nilivyosema hapo juu, ikiwa unawapa watumiaji wasiojulikana uwezo wa kuweka upya nenosiri la akaunti yoyote kwa kujua tu anwani zao za barua pepe, basi hii ni hali iliyopangwa tayari kwa kukataa mashambulizi ya huduma. Huenda si yule , ambayo tulikuwa tukizungumzia, lakini hakuna njia ya haraka ya kuzuia ufikiaji wa akaunti kuliko kwa kazi ya kuweka upya nenosiri iliyofikiriwa vibaya.
Kiungo dhaifu zaidi
Kutoka kwa mtazamo wa kulinda akaunti moja, kila kitu kilichoandikwa hapo juu ni nzuri, lakini daima unahitaji kukumbuka mfumo wa mazingira unaozunguka akaunti unayolinda. Ngoja nikupe mfano:
ASafaWeb inakaribishwa kwa huduma nzuri inayotolewa na AppHarbor. Mchakato wa kuweka upya akaunti ya mwenyeji ni kama ifuatavyo:
Hatua ya 1:
Hatua ya 2:
Hatua ya 3:
Hatua ya 4:
Baada ya kusoma habari zote za hapo awali, tayari ni rahisi kuelewa ni mambo gani katika ulimwengu bora tungetekeleza kwa njia tofauti. Walakini, ninachosema hapa ni kwamba ikiwa nitachapisha tovuti kama ASafaWeb kwenye AppHarbor, na kisha kuja na maswali na majibu mazuri ya usalama, ongeza sababu ya pili ya uthibitishaji, na kufanya kila kitu kingine kwa sheria, hiyo haibadilika. ukweli kwamba kiungo dhaifu katika mchakato mzima kitaweza kuvunja yote. Ikiwa mtu atathibitisha kwa ufanisi katika AppHarbor kwa kutumia maelezo yangu, basi ataweza kubadilisha nenosiri la akaunti yoyote ya ASafaWeb hadi anayohitaji!
Jambo ni kwamba nguvu ya utekelezaji wa usalama inapaswa kuzingatiwa kwa jumla: vitisho vinapaswa kuigwa katika kila sehemu ya kuingia kwenye mfumo, hata ikiwa ni mchakato wa juu juu kama vile kuingia kwenye AppHarbor. Hii inapaswa kunipa wazo nzuri la ni juhudi ngapi ninahitaji kuweka katika mchakato wa kuweka upya nenosiri la ASafaWeb.
Kuweka yote pamoja
Chapisho hili lina habari nyingi, kwa hivyo ninataka kuizingatia katika mpango rahisi wa kuona:
Kumbuka kwamba unapaswa kufanya ukataji wa kina zaidi wa kila moja ya vitu hivi. Hiyo ni, ni rahisi!
Matokeo ya
Chapisho langu linaonekana kuwa la kina, lakini kuna nyenzo nyingi za ziada ambazo mimi inaweza jumuisha ndani yake, lakini iliamua dhidi yake kwa sababu ya ufupi: jukumu la barua pepe ya uokoaji, hali ambayo unapoteza ufikiaji wa barua pepe inayohusishwa na akaunti yako (kwa mfano, umeacha kazi yako), na kadhalika. Kama nilivyosema hapo awali, kazi ya kuweka upya sio ngumu sana, tu kuna maoni mengi tofauti juu yake.
Ingawa kuweka upya sio ngumu sana, mara nyingi hutekelezwa vibaya. Hapo juu tuliona mifano michache ambapo utekelezaji Unaweza kusababisha matatizo, na kuna matukio mengi zaidi ambapo kuweka upya vibaya kweli kusababisha matatizo. Hivi karibuni iligeuka kuwa . Haya ni matokeo mabaya sana!
Kwa hivyo kuwa mwangalifu na utendakazi wako wa kuweka upya, katika sehemu mbalimbali, na unapotengeneza kipengele, usivue kofia yako nyeusi kwa sababu kuna nafasi nzuri ya mtu mwingine kuivaa!
Haki za Matangazo
VDSina inatoa gharama nafuu kwa malipo ya kila siku, kila seva imeunganishwa kwenye chaneli ya Mtandao ya 500 Mbps na inalindwa dhidi ya mashambulizi ya DDoS bila malipo!
Chanzo: mapenzi.com