ট্রয় হান্ট তার নিবন্ধে কিছু দুর্দান্ত পয়েন্ট দেয়, আপনি নিরাপদে পাসওয়ার্ড পুনরায় সেট করার বৈশিষ্ট্যটি তৈরির বিষয়ে যা জানতে চেয়েছিলেন তা সবই । সর্বাধিক প্রাসঙ্গিক অংশগুলি হ'ল:
[টি] এখানে দুটি সাধারণ পন্থা:
- সার্ভারে একটি নতুন পাসওয়ার্ড তৈরি করুন এবং এটি ইমেল করুন
- একটি অনন্য URL ইমেল করুন যা পুনরায় সেট প্রক্রিয়া সহজ করবে
বিপরীতে প্রচুর দিকনির্দেশনা সত্ত্বেও, প্রথম পয়েন্টটি আমরা যেখানে থাকতে চাই তা সত্যিই তা নয়। এটি করার ক্ষেত্রে সমস্যাটি হ'ল এর অর্থ একটি অবিচ্ছিন্ন পাসওয়ার্ড - যাকে আপনি আবার যেতে পারেন এবং যে কোনও সময় ব্যবহার করতে পারেন - এটি এখন কোনও অনিরাপদ চ্যানেলের মাধ্যমে পাঠানো হয়েছে এবং আপনার ইনবক্সে রয়েছে res
...
তবে প্রথম পদ্ধতির সাথে আরও একটি বড় সমস্যা রয়েছে যে এটি কোনও অ্যাকাউন্টের দূষিত লকআউটটিকে মৃতপ্রায় করে তোলে। যদি আমি কোনও ওয়েবসাইটে কোনও অ্যাকাউন্টের মালিকের ইমেল ঠিকানাটি জানি তবে আমি যখনই দয়া করে কেবল তাদের পাসওয়ার্ডটি পুনরায় সেট করে এটিকে লক করতে পারি; এটি রূপালী থালায় সেবা আক্রমণ আক্রমণ অস্বীকার! এই কারণেই রিসেট এমন একটি জিনিস যা কেবল অনুরোধকারীর ডানটি সফলভাবে যাচাই করার পরে ঘটতে হবে।
আমরা যখন একটি রিসেট ইউআরএল সম্পর্কে কথা বলি, তখন আমরা এমন কোনও ওয়েবসাইট ঠিকানা সম্পর্কে কথা বলি যা পুনরায় সেট করার প্রক্রিয়াটির এই নির্দিষ্ট উদাহরণটির জন্য অনন্য।
...
আমরা যা করতে চাই তা হ'ল একটি অনন্য টোকেন তৈরি করুন যা ব্যবহারকারীর অ্যাকাউন্টের পাশাপাশি সার্ভারের একটি রেকর্ডের সাথে মিলে গিয়ে পুনরায় সেট করা URL এর অংশ হিসাবে ইমেলটিতে প্রেরণ করা যেতে পারে যাতে ইমেল অ্যাকাউন্টের মালিকের সত্যতা নিশ্চিত হওয়া পুনরায় সেট করার চেষ্টা করা হয় পাসওয়ার্ড। উদাহরণস্বরূপ, টোকনটি "3ce7854015cd38c862cb9e14a1ae552b" হতে পারে এবং রিসেট সম্পাদনকারী ব্যবহারকারীর আইডির পাশাপাশি একটি টেবিলের মধ্যে সংরক্ষণ করা হয় এবং টোকনটি যে মুহুর্তে তৈরি হয়েছিল তা (এক মুহুর্তে আরও)। ইমেলটি যখন প্রেরণ করা হয়, তখন এটিতে "রিসেট /? আইডি = 3ce7854015cd38c862cb9e14a1ae552b" এর মতো একটি URL থাকে এবং ব্যবহারকারী যখন এটি লোড করে, পৃষ্ঠাটি টোকেনের অস্তিত্বের জন্য পরীক্ষা করে এবং ফলস্বরূপ ব্যবহারকারীর পরিচয় নিশ্চিত করে এবং পাসওয়ার্ডটিতে অনুমতি দেয় পরিবর্তন করা.
...
রিসেট ইউআরএল নিয়ে আমরা অন্য যে জিনিসটি করতে চাই তা হ'ল টোকেনকে সীমাবদ্ধ করা যাতে এক ঘন্টার মধ্যে বলুন যে রিসেট প্রক্রিয়াটি একটি নির্দিষ্ট সময়ের মধ্যে সম্পন্ন হবে।
...
অবশেষে, আমরা নিশ্চিত করতে চাই যে এটি এককালীন প্রক্রিয়া। পুনরায় সেট করার প্রক্রিয়াটি শেষ হয়ে গেলে, টোকেনটি মুছে ফেলা উচিত যাতে রিসেট URL টি আর কার্যকর হয় না। পূর্ববর্তী পয়েন্টের মতো এটিও নিশ্চিত করা যায় যে আক্রমণকারীটির খুব সীমিত উইন্ডো রয়েছে যাতে তারা পুনরায় সেট করা URL টি অপব্যবহার করতে পারে। অবশ্যই পুনরায় সেট প্রক্রিয়া সফলভাবে সম্পন্ন হলে টোকেনটির আর প্রয়োজন নেই।
তিনি তথ্য ফাঁস, ক্যাপচা, দ্বি-ফ্যাক্টর প্রমাণীকরণ এবং অবশ্যই পাসওয়ার্ড হ্যাশিংয়ের মতো প্রাথমিক সেরা অভ্যাসগুলি এড়ানোর বিষয়ে আরও অনেক ভাল পয়েন্ট তৈরি করেছেন। আমি মনে করি এটি নোট করা জরুরী যে আমি ব্রয়স স্নিয়ারের অনুশীলন সম্পর্কে সন্দেহবাদকে প্রাধান্য দিয়ে সুরক্ষা প্রশ্নগুলির উপযোগিতা সম্পর্কে ট্রয়ের সাথে একমত নই :
এই সমস্ত প্রশ্নের পয়েন্ট একই: একটি ব্যাকআপ পাসওয়ার্ড। আপনি যদি নিজের পাসওয়ার্ড ভুলে যান তবে গোপনীয় প্রশ্নটি আপনার পরিচয় যাচাই করতে পারে যাতে আপনি অন্য পাসওয়ার্ড চয়ন করতে পারেন বা সাইটটি আপনার বর্তমান পাসওয়ার্ডটি আপনাকে ইমেল করতে পারে। এটি গ্রাহক সেবার দৃষ্টিভঙ্গি থেকে একটি দুর্দান্ত ধারণা - কোনও ব্যবহারকারী তার প্রথম পোষা প্রাণীর নাম কিছু এলোমেলো পাসওয়ার্ডের চেয়ে ভুলে যাওয়ার সম্ভাবনা কম - তবে সুরক্ষার পক্ষে ভয়াবহ। একটি ভাল পাসওয়ার্ডের চেয়ে গোপন প্রশ্নের উত্তর অনুমান করা অনেক সহজ এবং তথ্যটি আরও বেশি প্রকাশ্য।