محتويات الدورة

أمان الويب / الأساسي: عقود الثقة والهوية في الويب / الدرس 3

المصادقة والتسجيل والاسترداد

صمم تحقق الهوية واسترداد الحساب كدورة واحدة وافصل التفويض والأسرار.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى
في هذه الصفحة

أهداف الدرس

  • ميّز ضمان المصادقة من الإذن.
  • راجع التسجيل والعوامل والاسترداد وقابلية الاستخدام المقاومة للإساءة.

حدد ما تثبته المصادقة الناجحة

تفحص المصادقة التحكم بأداة مصادقة وفق بروتوكول الخدمة؛ ويجيب إثبات الهوية والتفويض عن سؤالين مختلفين. لا يملك الداخل كل سجل ولا حق تغيير إعداد استرداد الحساب تلقائياً. استخدم إطاراً مصاناً أو مزود هوية بتكامل مراجع، لا بروتوكول دخول تركبه من مقارنات نصوص. حدد عاقبة الاستيلاء على الحساب واختر الضمان المناسب. يؤثر التسجيل واستبدال العامل وإنشاء الجلسة وإعادة المصادقة للحساس والإنهاء في الحد الفعلي. وقد تقوض شاشة دخول قوية آلية دعم أو استرداد ضعيفة.

عالج الكلمات والعوامل بآليات معتمدة

تقلل الكلمات الطويلة الفريدة ومدير الكلمات المعتمد إعادة الاستخدام، وتحتاج الخدمة تجزئة كلمات مدعومة وضبط دورة الاعتماد. لا تكفي بصمة عامة سريعة لتصميم تخزين الكلمات. تختلف مقاومة طرق MFA، وتحتاج المقاومة للتصيد ربطاً صحيحاً بالمتحقق واسترداداً مناسباً. لا تجمع كلمات أو رموزاً فعلية في التمرين. وازن تحديد المعدل والرسائل والقفل بين الإساءة والمستخدم الشرعي؛ فقد يضر قفل عام شديد بالتوفر. راجع الإرشاد الحالي ونطاقه لا قواعد تركيب اعتباطية أو فترة تدوير ثابتة مفترضة.

سجل الدورة دون الاعتمادات

يسمي سجل الحساب الخيالي المسؤوليات وحالات المراجعة، ولا يحوي كلمات أو مفاتيح أو روابط استرداد أو رموزاً. هو تخطيط لا إنشاء حساب. حدد في الحقيقي من يوافق على تغيير العامل، وكيف يخطر المستخدم، ومصير الأدوات والجلسات القديمة، والدليل المقبول للاسترداد. احمِ قنوات الدعم ورسائل الاسترداد من الانتحال. لا تعامل أسئلة مبنية على حقائق شخصية سهلة الجمع كإثبات قوي. راجع البدائل، فقد يحسم أضعف مسار استرداد مقبول حماية عامل أساسي قوي.

json مراجعة دورة مصادقة خيالية
{
  "accountLabel": "synthetic-editor",
  "primaryMethodReview": "complete",
  "factorReplacementOwner": "identity-maintainer",
  "recoveryReview": "pending",
  "sessionRevocationPlan": "documented",
  "containsCredentials": false
}

القيم حقائق مختبر معلنة لا تتحقق من مزود هوية حقيقي. تبقى pending ظاهرة. لا يحوي الملف اعتماداً أو ينشئ حساباً أو يرسل إشعاراً.

أظهر فجوة الاسترداد بنموذج محلي

تفحص الدالة اكتمالاً معلناً لا هوية. تظهر فجوة الاسترداد حتى عند مراجعة الأساسي، ولا يصادق تغيير قيمة منطقية شخصاً أو يثبت نجاح تمرين فعلي. يحتاج النظام دليلاً موثوقاً ومالك دعم وسياسة للحالات المبهمة. احمِ الاسترداد من التكرار والطلب غير الصحيح بآليات مدعومة. تجنب ردوداً غير مصادقة تكشف وجود الحساب دون حاجة، مع توفير دعم مفوض مفيد ومسار متاح للمستخدم الشرعي. يوضح المثال قرار المراجعة فقط ولا يطبق تلك الآليات.

python فحص كامل محلي لفجوة الدورة
def identity_review(primary_reviewed, recovery_reviewed, retirement_defined):
    if not primary_reviewed:
        return "review-primary"
    if not recovery_reviewed:
        return "review-recovery"
    if not retirement_defined:
        return "define-retirement"
    return "scheduled-lifecycle-review"

assert identity_review(True, False, True) == "review-recovery"

يعمل بقيم منطقية اصطناعية فقط دون حساب أو اتصال شبكة. الوسم المتوقع review-recovery. لا تشهد النهاية المجدولة بقوة المصادقة أو تعوض عملية تحقق فعلية.

تحقق من الاستخدام الشرعي ومسارات الفشل

راجع التسجيل والدخول والاسترداد وتغيير العامل والخروج وإنهاء الحساب بهويات اصطناعية في بيئة مفوضة. شمل محاولات استرداد منتهية وغير صحيحة وتغير الإذن وفشل الإشعار دون كشف مستخدمين فعليين. تأكد من غياب السر عن السجل والتحليل والدعم. تنشئ المصادقة سياق جلسة موثوقاً، ويبقى لكل فعل إذنه. سجل الإصدار والإعداد والنتيجة والقيود للتكامل المختبر. لا يثبت قرار محلي ناجح أو وسم ميزة لدى مزود أمان دورة الحساب بأكملها.

الأخطاء الشائعة وإصلاحها

يعدل الداخل سجلات غير مرتبطة

لماذا يحدث؟
استبدلت المصادقة التفويض.
كيف تصلحه؟
افرض سياسة المورد والفعل مستقلة.
كيف تتجنب تكراره؟
اختبر حد الهوية والإذن.

يتجاوز الاسترداد العامل المراجع

لماذا يحدث؟
أغفل ضمان البديل.
كيف تصلحه؟
راجع الاستبدال ودليل الاسترداد.
كيف تتجنب تكراره؟
ضمّن الاسترداد بتمارين الدورة.

يكشف تشخيص الاسترداد أسراراً

لماذا يحدث؟
حفظت الاعتمادات أو الروابط بالسجل.
كيف تصلحه؟
قلل الانكشاف واتبع استجابة المالك.
كيف تتجنب تكراره؟
راجع حقول السجل والدعم قبل النشر.

اختبر فهمك

1. لمفتاح مرور قوي استرداد ضعيف. ما الحد؟

اعرض الحل المشروح

راجع دورة الاسترداد والاستبدال كاملة، بما فيها الدليل والموافقة والإشعارات والتعامل مع الجلسات القديمة. لا يثبت وجود طريقة قوية حماية الحساب عندما يستطيع مسار مقبول أضعف استبدالها. تقاس الحماية الفعلية بالعلاقات بين هذه المسارات، لا شاشة الدخول وحدها.

2. تعيد الدالة scheduled-lifecycle-review. هل يعلن الضمان؟

اعرض الحل المشروح

لا؛ قيمت الدالة حقائق تخطيط معطاة فقط. يحتاج تكامل المزود الحقيقي وضبط البروتوكول وسلوك الدورة ونطاق الضمان المدعوم أدلة مستقلة من تحقق مفوض. لا يحول اسم النتيجة المراجعة المخططة إلى مصادقة فعلية أو إثبات ضمان.

أهم ما تعلمته

  • تختلف المصادقة والتفويض وإثبات الهوية.
  • يدخل الاسترداد والإنهاء بالدورة نفسها.
  • احمِ السر واختبر الفشل والنجاح.

المراجع الرسمية