محتويات الدورة

الأمن السيبراني / الأساسي: المفاهيم الدفاعية وحدود الاستخدام والخدمة / الدرس 2

الهوية والمصادقة ودورة الحساب

افصل تحديد الفاعل وإثبات التحكم بأداة المصادقة ومنح الإذن.

وقت القراءة التقريبي: 3 دقيقةتاريخ مراجعة المحتوى
في هذه الصفحة

أهداف الدرس

  • ميّز إثبات الهوية والمصادقة والتفويض والجلسة.
  • خطط إنشاء الحساب ومراجعته وإنهاءه.

عرّف الفاعل وعلاقته بالخدمة

يمثل الحساب فاعلاً ولا يثبت اسمه الشخص أو المؤسسة. يثبت التحقق سمات بثقة مختارة وتفحص المصادقة التحكم ويقرر التفويض الأفعال. تختلف حاجة قراءة العام وتعديل الخاص. حدد الغرض والعاقبة قبل الآلية ولا تجمع وثائق زائدة لمجرد الشعور بالأمان؛ تزيد الخصوصية والاحتفاظ.

عامل المصادقة كادعاء محدود

قد تشمل الأداة سراً محفوظاً أو مفتاح جهاز أو عاملاً مدعوماً. يثبت النجاح التحكم لحظياً بحدود ولا يضمن الإذن لكل فعل أو سلامة الجهاز. استخدم خدمة ومكتبة معتمدتين لا بروتوكولاً مبتكراً. الاسترداد واستبدال العامل جزء من الحد وقد يضعفه إجراء مساعدة بمعلومات سهلة. راجع الدورة لا شاشة الدخول فقط.

أظهر ملكية الحساب ومراجعته

لكل حساب بشري أو خدمة غرض ومالك وصلاحيات ومراجعة أو انتهاء. تضعف المشتركة نسبة الأفعال ومعالجة المغادرة وتحتاج الخدمية مالكاً أيضاً. السجل خيالي لا إعداد دليل أو إنشاء مستخدم وبلا كلمة أو معرّف فعلي. يفرض النظام القرارات بواجهاته ويشرح السجل سبب الحساب ومسؤول المجهول.

json سجل دورة حساب اصطناعي
{
  "account": "lab-course-editor",
  "type": "human",
  "ownerRole": "content-maintainer",
  "purpose": "edit assigned lessons",
  "accessProfile": "limited-editor",
  "reviewState": "scheduled",
  "departureAction": "approved-access-removal"
}

الملف تخطيط خاص لا ينشئ شيئاً ويتعمد حذف الاعتماد. يستخدم الحصر الفعلي هويات ثابتة بحماية واحتفاظ مناسبين.

افصل صلاحية الجلسة عن الإذن

تمثل الجلسة استمراراً بشروط انتهاء وإبطال وجهاز. افحص الإذن عند الفعل لا تسجيل قديم وقد يحتاج الحساس خطوة جديدة أو أقوى. تصنف الدالة حقائق اصطناعية ولا تتحقق من رمز أو cookie ولا توصل لحد فعلي. يحتاج الحقيقي حالة خادم موثوقة أو رمزاً متحققاً بمصدر وجمهور وعمر وإبطال صحيحين.

python نموذج قرار جلسة محلي تعليمي
def session_review(facts):
    if facts.get("revoked") is True:
        return "access-not-valid"
    if facts.get("expired") is True:
        return "authenticate-again"
    if facts.get("validated") is not True:
        return "validation-required"
    return "check-operation-permission"

assert session_review({"validated": True}) == "check-operation-permission"

تطلب النتيجة الأخيرة التفويض؛ القيم حقائق مختبر لا إثبات عميل. لا يفحص أو يغير حساباً أو رمزاً أو خدمة.

راجع التغير وأنهِ الوصول بقصد

قد تتطلب الأدوار والمغادرة والجهاز المفقود والأداة المخترقة مراجعة وإبطالاً وتعافياً مفوضاً. يعتمد الترتيب على الخطر ولا يستبدله نص عام. تحقق من توقف الأفعال وفهم الاعتماد واحفظ تدقيقاً أدنى بلا أسرار. يوفر NIST مفاهيم ومتطلبات لنطاقه ولا يثبت اتباع توصية مستوى ضمان أو التزاماً قانونياً.

الأخطاء الشائعة وإصلاحها

يمنح الدخول كل فعل

لماذا يحدث؟
اختلطت المصادقة بالتفويض.
كيف تصلحه؟
افحص الإذن لكل عملية.
كيف تتجنب تكراره؟
صمم اختبارين منفصلين.

يبقى حساب موظف قديم فعالاً

لماذا يحدث؟
تغيب الملكية وخطوات المغادرة.
كيف تصلحه؟
استخدم مراجعة الوصول المفوضة.
كيف تتجنب تكراره؟
اربط الحساب بالغرض والمراجعة.

يتجاوز الاسترداد المصادقة القوية

لماذا يحدث؟
يستخدم الاسترداد دليلاً أضعف.
كيف تصلحه؟
راجع ضمان الاسترداد والاستبدال.
كيف تتجنب تكراره؟
ضمّن الاسترداد بالتصميم والتجربة.

اختبر فهمك

1. يصادق مستخدم غير مكلف بالدرس. ما يحسم التحرير؟

اعرض الحل المشروح

سياسة الفاعل والمورد والفعل؛ لا تنشئ المصادقة التكليف ويفرض الخادم القاعدة ولو أخفى الزر.

2. لا يملك حساب تصدير خلفي دخولاً تفاعلياً. هل يحتاج مالكاً؟

اعرض الحل المشروح

نعم لتبرير الغرض والصلاحيات والاعتماد والدورة والإنهاء؛ قد يحتفظ المجهول بوصول زائد بعد تغير المهمة.

أهم ما تعلمته

  • تجيب الهوية والمصادقة والتفويض والجلسة أسئلة مختلفة.
  • يدخل الاسترداد والإنهاء بحد الأمان.
  • لكل حساب غرض وملكية.

المراجع الرسمية