احراز هویت – آیا می توانم کلید خصوصی را دور بریزم و از کلید عمومی مانند یک تابع هش استفاده کنم؟

بله بله من می دانم "پروتکل های خود را منفجر کنید مگر اینکه متخصص باشید". لازم نیست که به من دروغ بگید فقط می خواهم بدانم که آیا این ایده نقص وجود دارد و اگر کسی چنین کاری را قبلا انجام نداده است

انگیزه این است که می خواهم توانایی تأیید هویت کاربران را داشته باشم. من می دانم که راه حل استاندارد این است که کلمه عبور هلو را بخورند. اما من این واقعیت را دوست ندارد که رمز عبور خود را به سرور ارسال کند تا آن را بررسی کند. چه کسی در مورد گوش دادن طرف سرویس گیرنده می تواند رمز عبور را رمزگذاری و ارسال کند، اما من آن را دوست ندارم، زیرا ممکن است نکته کلید رمزگشایی من و کسی که ترافیک وب قبلی را ثبت کرده است بتواند تمامی رمزهای عبور را محاسبه کند. تأیید اعتبار یک مشکل جدید نیست، بنابراین من بیشتر در مورد جوانب مثبت و منفی راه حل های معمول قرار نمی گیرم.

ایده من

برای هر کاربر (a) سرور یک کلید عمومی (g ^ x_a) و رمز عبور رمزگذاری شده با آن کلید عمومی (g ^ {x_a} * p_a) را ذخیره می کند. کلید خصوصی مربوطه یا فورا از بین رفت و یا (هنوز بهتر) هرگز محاسبه نشده است. فرآیند احراز هویت به شرح زیر است:

  1. کاربر آلیس می خواهد برای تأیید اعتبار

  2. سرور باب یک کلید عمومی موقت عمومی G ^ t (دوباره بدون یک کلید خصوصی مرتبط) تولید می کند. باب این کلید موقت عمومی را در داده های آلیس خود افزایش می دهد. در نتیجه g ^ t * g ^ {x_a} = g ^ {t + x_a} = g ^ {x_a} 'و g ^ t * g ^ {x_a} * p_a = g ^ {t + x_a} * p_a = g ^ {x_a} '* p_a. باب از کلید عمومی موقت دور می شود و تنها با یک کلید عمومی جدید (g ^ {x_a} ') و رمز عبور آلیس رمزگذاری شده با این کلید است. او کلید جدیدی برای آلیس می فرستد.

  3. آلیس کلید دریافت شده توسط باب از آن برای رمزگذاری رمز عبور خود استفاده می کند. او مقدار رمزگذاری شده را به باب می فرستد.

  4. باب آلیس را تصدیق می کند اگر مقدار داده شده مطابقت با آنچه که در ضبط داشته است باشد.

برای recap

  1. هیچ وقت سرور یا یک هکر پایگاه داده رمزگشایی نمی کند. با کلید های خصوصی ردیابی رمزنگاری کلید عمومی به طور موثری مانند هش کار می کند.

  2. از آنجا که هر کاربر با یک کلید متفاوت رمزگذاری شده است، کلمه عبور به طور مؤثری گرم می شود. جدول رنگین کمان اینجا کار نمی کند

  3. یک هکر با تصویر قبلی از پایگاه داده می تواند ارزش های آینده g ^ x_a * p_a را با گوش دادن به ترافیک وب به دست نمی آورد، زیرا این امر نیاز به کشف کلید موقت دارد (که نیازمند حل مجله گسسته است). بنابراین یک تصویر پایگاه داده نشتی اجازه نمیدهد که مهاجم خود را مجبور به جعل هویت کاربران کند.

  4. هیچ سرور یا مشتری هیچ کلید خصوصی برای مدیریت ندارد. فقط مشتری نیاز به نگه داشتن اطلاعات مخفی و اطلاعات مخفی را می توان انسان قابل خواندن است.

  5. (معایب) مهاجم یک پنجره کوچک از زمان بین مراحل 2 و 4 دارد که می تواند به سرور نفوذ کند و با استفاده از داده هایی که پیدا کرده است، یک کاربر را جعل هویت کند.

اطمینان حاصل کنید که پشتیبان گیری برای تأیید هویت دو عامل دارید

تأیید هویت دو عامل (2FA) به طور کلی یک ابزار امنیتی عالی است. اما اگر شما آن را در حساب های اپل یا گوگل خود فعال کرده اید، این واقعا می تواند شما را در بدترین حالت مجدد بازگرداند. در اینجا چیزی است که شما باید بدانید.

دو مورد تأیید اعتبار چیست؟

به سادگی، 2FA به شما امنیت بیشتری را برای یک حساب کاربری از طریق استفاده از رمز عبور شما می دهد. دو عامل که نام آن اشاره شده است به طور کلی به عنوان چیزی که شما می دانید و چیزی است که شما شناسایی شده است. چیزی که می شناسید رمز عبور یا کد عبور شماست. چیزی که شما دارید یک چیز فیزیکی است که خودت هستی. در حالی که این می تواند چیزی شبیه یک کارت هوشمند یا کلید USB باشد، برای اکثر مردم این گوشی هوشمند خود است.

به طور کلی، 2FA به صورت زیر عمل می کند. هنگامی که شما به یک سایت یا برنامه وارد می شوید، از گذرواژه خود می پرسد. پس از وارد کردن یک رمز عبور، از شما خواسته می شود کدی را که در گوشی نشان داده شده وارد کنید. این کد ممکن است از یک برنامه مانند Google Authenticator یا Authy گرفته شود یا ممکن است از یک پیام متنی که این سرویس به شما می فرستد، بیاید.

مرتبط شده است: تأیید اعتبار دو عامل و چرا من نیاز دارم این

این دومین لایه امنیتی است که باعث استفاده از 2FA یک ایده واقعا خوب می شود. در بیشتر موارد، لایه های اضافی امنیتی چیز خوبی هستند. مطمئنا یک ابر برای هر پوشش نقره ای وجود دارد و در مورد 2FA این ابر به شکل آنچه اتفاق می افتد اگر گوشی شما را از دست بدهد. به طور خاص، اگر گوشی شما برای 2FA از دست می دهید، چه اتفاقی می افتد و پس از آن نمی توانید به ابزارهایی که ممکن است برای پیدا کردن گوشی خود استفاده کنید وارد شوید زیرا … شما می دانید … شما گوشی خود را ندارید.

دو عامل تایید هویت یک مشکل است؟

سناریوی این است: شما یک تلفن دارید و دزدیده یا از دست رفته است. صرف نظر از این که آیا این یک تلفن آندروید یا آی فون است، شما می توانید از ابزارهای ردیابی در دسترس برای تلاش برای قرار دادن گوشی گم شده یا دزدیده خود استفاده کنید.

اما اگر این سرویس خاموش شده باشد، این سرویس ها قادر به یافتن آن نخواهند بود. در یک وحشت، متوجه خواهید شد که باید از راه دور دستگاه را پاک کنید. سپس اتفاق می افتد: یک درخواست برای کد 2FA که به گوشی شما فرستاده شد. شما می دانید، یکی که شما دیگر ندارید .

در این مرحله، شما در معرض مشکل هستید. شما هیچ راهی برای وارد کردن کد ندارید، زیرا نمی توانید کد را دریافت کنید. Ergo، شما هیچ راهی برای پاک کردن دستگاه خود ندارید فقط فکر داده های خصوصی من که در آن وجود دارد – حتی در یک تلفن رمزنگاری شده با صفحه نمایش قفل ایمن – صدای زنگ زدن است.

و البته نیز این واقعیت است که دیگر نمیتوانید از دستگاه استفاده کنید تا مجوز ورود به سیستم را تأیید کند به برنامه ها و سایت های دیگر.

به همین دلیل مهم است که شما گام هایی برای جلوگیری از این وضعیت از هر اتفاق می افتد در وهله اول. منتظر بمانید تا خیلی دیر شود.

آنچه شما می توانید برای محافظت از حساب های خود در حال حاضر

اگر شما می خواهید مطمئن شوید که شما هرگز در این وضعیت (و واقعا، شما باید)، راه هایی وجود دارد آماده باشید در صورتی که این اتفاق بیفتد. در اینجا نحوه انجام این کار را برای هر دو حساب گوگل و اپل

برای حساب های Google: ذخیره کد پشتیبان خود را

هنگامی که شما تنظیم 2FA در حساب Google خود، آن را به شما امکان چاپ کدهای پشتیبان. انجام آن. اگر چیزی به تلفن شما برسد و شما باید به حساب Google خود دسترسی داشته باشید، این کدها به شما کمک خواهد کرد.

اگر شما در حال حاضر 2FA را در حساب Google خود تنظیم کرده اید (احتمالا خیلی زیاد است)، می توانید این کار را بعد از حقیقت. ابتدا به حساب Google خود وارد شوید و سپس «ورود به Google» را در زیر ستون وارد شوید و امنیتی را انتخاب کنید.

در صفحه بعد، گزینه «تأیید مرحله 2» را کلیک کنید. برای بارگذاري رمز شما باید دوباره آن را وارد کنید.

به قسمت پایین بروید و بخش "Backup Codes" را پیدا کنید. روی پیوند "Show Codes" کلیک کنید و سپس آنها را دانلود کنید و یا چاپ کنید-فقط مطمئن شوید که آنها را در یک مکان امن نگه دارید . به طور جدی، این مهم است که شما را به دست، اما شما همچنین نمی خواهید آنها را از دست بدهند و یا افرادی که اشتباه آنها را پیدا کند.

اگر شما تا به حال در شرایطی که شما نیاز دارید به حساب شما دسترسی پیدا می کند و شما به دستگاه 2FA اصلی خود دسترسی ندارید، می توانید از کدهای پشتیبان آن استفاده کنید.

وقتی وارد سیستم هستید و گوگل درخواست کد شما را می کند، روی لینک «وجود مشکل» کلیک کنید

از آنجا گزینه "وارد کردن یک کد پشتیبان 8 رقمی خود را انتخاب کنید."

یکی از کدهای پشتیبان را وارد کنید و وارد سیستم شوید.

[اپلبرایکدحسابهایپشتیبانشماارائهنمیدهد،بنابراینبهترینکاریکهمیتوانیدانجامدهیدایناستکهشمارهتلفندومخودرابهحسابخوداضافهکنید-یکتلفنکار،تلفنهمسر،تلفنهمراه،تنهاکسیراکهبهآناعتمادداریدوکسیکهتلفنرامیتوانیددرخرجخرجکنید،بهدستآورید

برای تنظیم آن، به جلو بروید و وارد A شوید حساب کاربری pple – اگر شما 2FA را فعال کرده اید، باید اینجا را تأیید کنید. به همین دلیل لازم است تا مطمئن شوید که یک سیستم پشتیبان دارید.

از اینجا، روی دکمه «ویرایش» در کنار شماره تلفن معتبر زیر بخش امنیت کلیک کنید.

روی «افزودن شماره تلفن معتبر "

شماره را تایپ کنید، روش تأیید (پیام متنی یا تماس تلفنی) را انتخاب کنید، سپس روی دکمه" ادامه "کلیک کنید.

اپل کد را به آن دستگاه ارسال خواهد کرد. پس از دریافت کد، آن را به سایت اضافه کنید تا عدد جدید را اضافه کنید. انجام شده است.

اگر تا کنون خود را در موقعیتی قرار دهید که از این شماره تلفن دوم استفاده می کنید، باید روی پیوند "آیا یک کد تأیید دریافت نکرده اید" کلیک کنید و سپس "استفاده از شماره تلفن" را انتخاب کنید گزینه

این دو رقم آخر هر شماره تلفن را در اینجا نشان می دهد – فقط کد مورد نیاز را برای کد ارسال کنید.

انجام شده و انجام شده است. [19659035] قفل شدن از حساب شما در یک زمان حیاتی مثل داشتن یک تلفن از دست رفته، گزاف گویی است. با در نظر گرفتن چند دقیقه برای ذخیره کدهای پشتیبان خود و یا اضافه کردن یک شماره تلفن دوم، می توانید از سرخوردگی و دل درد خود را نجات دهید.

احراز هویت یک برنامه کاربردی و ISO 27001

من یک برنامه صفحه جاوا اسکریپت یک صفحه دارم که با یک API .NET در حال اجرا در IIS ارتباط برقرار می کند. تأییدیه پس از بارگذاری ظاهر برنامه، با استفاده از یک نشانه OAuth از دفتر 365، به دست آمده با استفاده از ADAL.js و توسط WindowsAzureActiveDirectoryBearerAvhentication middleware از کتابخانه مایکروسافت OWIN تأیید شده است، همانند این برنامه نمونه.

دیروز کسی به من گفت که این رفتار ( داشتن یک برنامه JS به طور آشکار در اینترنت فقط با API ایمن در دسترس است) مطابق با استاندارد ISO 27001 نیست و کد منبع آن از یک مهاجم فقط در صورت موفقیت آمیز بودن با یک حساب تأیید شده در دسترس است. از آنجایی که من هرگز از ISO 27001 قبل از آن نشنیده بودم و من نیز به آن استاندارد دسترسی ندارم، شاید کسی بتواند به من بگوید این درست است یا خیر، و چه وضعیت فعلی در هنر است.

رمزهای عبور – مزایای ثبت نام نام کاربری یک تلاش احراز هویت ناموفق چیست؟

گاه گاه بعضی از کاربران به اشتباه می توانند رمز عبور خود را در فیلد نام کاربری وارد کنند، زیرا آنها کلید Tab را از دست دادند یا به این دلیل که فکر می کردند که حسابشان به سادگی قفل شده و از سیستم خارج نشده است (به عنوان مثال ویندوز).

با توجه به برخی سوالات در این سایت، اگر کلمه عبور از تلاش احراز هویت ناموفق نباید وارد شود، نام کاربری اغلب می باشد.
این سوال حتی بیان می کند که:

به نظر منطقی است که کسی (حتی یک مدیر امنیتی آگاه) ورود به سیستم نام کاربری ها را هر دو مفید و ایمن نامید.

چگونه آن را مفید یا امن است؟
آیا مزایای دیگر خود را برای ثبت نام نام کاربری یک تلاش احراز هویت ناموفق انجام می دهند؟

احراز هویت – PIV / CAC برای احراز هویت FedRAMP

شرکت من برای صدور گواهینامه FedRAMP برای P-ATO درخواست می کند. یک الزام اجباری به خوبی درک نمی کنم.

"آیا سیستم می تواند به طور کامل از تایید هویت کاربر از طریق کارت اعتبار آگاه مشترک (CAC) یا اعتبار شناسه هویت شخصی (PIV) پشتیبانی کند؟"

ما نرم افزار و مخصوصا تلفن همراه برنامه های کاربردی. برنامه ما هرگز به CAC یا PIV برای کاربران نهایی نیاز ندارد. علاوه بر این، دو فاکتور برای راه اندازی مجدد برای ورود به پلتفرم ابر ما (AWS) داریم، اما نمیتوانم ببینم چرا / چرا ما از PIV یا CAC استفاده میکنیم.

هر کسی در پیش روی این پیشفرضها کار میکند و چگونه میتواند کار کند؟ این اجباری است بنابراین فرض بر این است که من باید به نحوی با آن برخورد کنم.
متشکرم