نوشته‌شده در

تأیید اعتبار – هنگامی که TouchID / اثر انگشت ورود به سیستم منقضی می شود؟

من نمی توانستم چنین استانداردی را پیدا کنم که درمورد تاریخ TouchID یا اثر انگشت اشاره به تاریخ انقضا داشته باشد.

فرض کنید من یک برنامه دارم و اجازه می دهد که کاربران با استفاده از اثر انگشت وارد سیستم شوند. من می خواهم بدانم چقدر طول می کشد تا بتوانم کاربر خود را با اثر انگشت وارد سیستم شوید تا دوباره مجددا آن را وارد کنید. به عنوان مثال، کاربر اجازه ورود به سیستم با استفاده از اثر انگشت را برای 3 ماه و هر 3 ماه کاربر باید دوباره وارد رمز عبور شود.

آیا چنین استانداردی در مورد طول زمان مشخص شده است؟ یا می تواند برای همیشه بماند؟

نوشته‌شده در

تأیید اعتبار – تفاوت بین res.header (x-auth، JWTtoken) و res.cookies (JWTtoken)؟

من در تمام وبلاگ ها و مقالات دیده ام که دو راه برای اداره JWTtokens وجود دارد، آنها را داخل localStorage قرار داده و برای حمله XSS آنها در داخل کوکی ها و مجموعه httpOnly و امن پرچم برای جلوگیری از XSS .

با استفاده از localStorage

سرور علامت را خارج از localStorage استخراج کرده و آن را به مجوز: Bearer بطور دستی وارد می کند.

با استفاده از کوکی ها

آن را توسط طرف JS قابل دسترسی نخواهید بود، آنچه که شما انجام می دهید، res.cookies (token) است و به صورت خودکار برای هر تماس بعدی ارسال می شود بر خلاف localStorage

اما اخیرا برخی از توسعه دهندگان را دیدم که علامت گذاری شده در هدر ها با استفاده از res.headers ('x-auth'، token) .

  1. آیا راه سوم برای مدیریت JWT است؟
  2. آیا هدر X-Auth برای هر درخواست بعدی به سرور مانند کوکی ها به صورت خودکار تنظیم می شود یا شما باید آن را دستی (به عنوان مثال در مورد localStorage) تنظیم کنید؟
  3. آیا نشانه ها در هدر X-Auth توسط JS قابل دسترسی نیستند و مانند کوکی ها قابل دسترسی هستند؟
  4. تفاوت بین انجام این کار res.header ('X-auth') و res.cookie (token) چیست؟

  5. سرانجام بهترین راه برای انجام این کار این است که اگر API من توسط برنامه ReactJS وب و برنامه تلفن همراه واکنش دهنده بکار برده شود؟

با تشکر

نوشته‌شده در

تأیید اعتبار – اهمیت تلاش برای ورود به Dovecot با استفاده از [email protected]

من سرور Dovecot IMAP را مدیریت می کنم و گاهی اوقات (2-3 بار در ماه) یک ترس از تلاش برای ورود به سیستم با استفاده از آدرس ایمیل [email protected] (جایی که domain.tld دامنه پست میزبان است). هنگامی که شروع به تجمع می کنم، تلاش هایی را از هر نقطه به دوازده یا دوازده آدرس IP متفاوت می بینم، بنابراین فرض می کنم که این یک botnet است.

من یک کاربر به نام gru ندارم و من شکست 2ban تنظیم شده برای جلوگیری از درب در این پس از اولین تلاش، بنابراین من به خصوص نگران نیست.

تنها اشاره به گرو من می توانم پیدا (دیگر از اینکه یک شخصیت در یک فیلم متحرک است، این است که GRU معادل روسیه از سیا است.

سوال: چرا یک بوتت مشتاق تلاش برای ورود به سیستم با یک شناسه کاربر است که احتمالا وجود ندارد ؟ تنها کاری که می توانم بکنم این است که برخی از نرم افزارهای مخرب خارج از سرور POP / IMAP را آلوده می کنند و این شناسه کاربر را برای استفاده توسط بوت نت ایجاد می کنند. آیا این مورد است، یا دلیل دیگری وجود دارد که یک بوت نت از این شناسه ورود استفاده می کند؟

نوشته‌شده در

مدیریت کلید – یک کلید متقارن بر اساس اعتبار کاربران در OS تولید می شود؟ (مانند DPAPI)

فرایند قابل مقایسه برای این در لینوکس (و راهی برای نام آن در جاوا) است؟
به طور خاص به این نقل قول اشاره می کنم:

"DPAPI با استفاده از یک فرایند رمزنگاری استاندارد، به نام رمزگذاری مبتنی بر کلید، که در PKCS # 5 توصیف شده است، برای تولید کلید از رمز عبور استفاده می شود. Triple-DES برای رمزگذاری MasterKey، که در نهایت در دایرکتوری پروفایل کاربر ذخیره می شود "

من در مورد سرویس، API یا یک فراخوانی تابع صحبت می کنم که می تواند اعتبار کاربر (هش رمز عبور خود را) در سیستم عامل، از سپس بر روی یک کلید متقارن رمزنگاری یا رمزگشایی رمزهای عبور ایجاد کنید.
این در پاسخ به سوال امنیت بوت استرپ است؛ از کجا ایجاد و ذخیره یک کلید برای محافظت از رمز عبور محافظت می کند که از ذخیره سازی امن محافظت می کند که رمز عبور کاربر را محافظت می کند.

https://msdn.microsoft.com/en-us/library /ms995355.aspx

نوشته‌شده در

تأیید اعتبار – آیا سیستم وجود دارد که می توانم دستگاه خود را تأیید کنم تا برنامه های خاصی را روی آن باز کنم؟

من می خواهم یک سیستم تأیید اعتبار داشته باشم که می توانم یک دستگاه را به هر کارمند پیوند دهم و سپس این کارمند می تواند در برنامه های خانه بسیار خاصی را در آن دستگاه باز کند.
برنامه های داخلی می توانند در دستگاه های معتبر اجرا شوند نه بر روی دستگاه های خارجی

برنامه ها می توانند متنوع باشند مانند وب سایت مبتنی بر پی اچ پی، آدرس ایمیل و یا سایر برنامه های تلفن همراه.