আমি এই প্রশ্নের উপর যে মন্তব্য করেছি তার অনুসারে:
একটি গুরুত্বপূর্ণ বিষয় প্রায় প্রত্যেকেই খুব বেশি প্রকাশ পেয়েছে ... আমার প্রাথমিক প্রতিক্রিয়াটি @ মিশেল ব্রুকসের সাথে খুব সাদৃশ্য ছিল, যতক্ষণ না আমি বুঝতে পেরেছি @ স্টেফানও, যে বিষয়টি এখানে সমস্যা ভঙ্গ হয়েছে? তবে এগুলি এগুলি।
কিন্তু তারপরে, আমার কাছে এমন ঘটনা ঘটেছিল যে এটি এমনকি নাও হতে পারে! অনুপস্থিত বিন্দুটি হ'ল অ্যাপ্লিকেশনটির সম্পদের অপ্রকাশিত মান । সহজ ভাষায় বলতে গেলে, একটি নিম্নমানের ব্যবস্থার জন্য, সম্পূর্ণ প্রক্রিয়া জড়িত একটি সম্পূর্ণ সুরক্ষিত প্রমাণীকরণ প্রক্রিয়া, ওভারকিল এবং ভুল সুরক্ষা পছন্দ হবে।
স্পষ্টতই, একটি ব্যাংকের জন্য, "সেরা অনুশীলনগুলি" আবশ্যক এবং সিডব্লিউই -২77 নৈতিকভাবে লঙ্ঘনের কোনও উপায় নেই। তবে স্বল্পমূল্যের সিস্টেমগুলির কথা চিন্তা করা সহজ যেখানে এটি কেবল মূল্যবান নয় (তবে একটি সাধারণ পাসওয়ার্ড এখনও প্রয়োজন)।
এটি মনে রাখা জরুরী, সত্য সুরক্ষা দক্ষতা উপযুক্ত ট্রেডঅফগুলি সন্ধানে হয়, যে কেউ "অনলাইনে অনুশীলনগুলি" অনলাইনে পড়তে পারে তা স্পষ্টভাবে ফুটিয়ে তোলার ক্ষেত্রে নয়।
এই হিসাবে, আমি অন্য সমাধানের পরামর্শ দিচ্ছি:
সিস্টেমের মানের উপর নির্ভর করে, এবং কেবলমাত্র যদি সিস্টেমটি যথাযথভাবে কোনও "ব্যয়বহুল" সম্পদ (স্বীকৃতি নিজেই অন্তর্ভুক্ত) সহ কম মান না দেয় এবং বৈধ ব্যবসায়ের প্রয়োজনীয়তা রয়েছে যা যথাযথ প্রক্রিয়া করে অসম্ভব (বা যথেষ্ট কঠিন / ব্যয়বহুল), এবং ক্লায়েন্টকে সমস্ত সতর্কতা সম্পর্কে অবহিত করা হয়েছে ...
তারপরে কেবল কোনও বিশেষ হুপগুলি না পেরে কেবল বিপরীত এনক্রিপশনকে অনুমতি দেওয়া উপযুক্ত হতে পারে।
আমি মোটেও এনক্রিপশন নিয়ে বিরক্ত করার কথা বলার অপেক্ষা রাখে না, কারণ এটি প্রয়োগ করা খুব সহজ / সস্তা (এমনকি প্যাসেবল কী পরিচালনা বিবেচনা করে) এবং এটি কিছু সুরক্ষা সরবরাহ করে (এটি বাস্তবায়নের ব্যয়ের চেয়েও বেশি)। এছাড়াও, কীভাবে ব্যবহারকারীকে মূল পাসওয়ার্ড, কীভাবে ইমেলের মাধ্যমে, স্ক্রিনে প্রদর্শন করা যায় ইত্যাদি সরবরাহ করা যায় সেদিকে নজর রাখা
যেহেতু এখানে অনুমান করা হয়েছে যে চুরি হওয়া পাসওয়ার্ডের মান (এমনকি সমষ্টিগত) বেশ কম, এই সমাধানগুলির যে কোনওটি বৈধ হতে পারে।
যেহেতু একটি প্রাণবন্ত আলোচনা চলছে, আসলে আলাদা আলাদা প্রাণবন্ত আলোচনা, বিভিন্ন পোস্টে এবং পৃথক মন্তব্যের থ্রেডে, আমি কিছু স্পষ্টতা যুক্ত করব এবং এখানে অন্য কোথাও উত্থিত খুব ভাল কিছু পয়েন্টগুলিতে প্রতিক্রিয়া জানাব।
শুরু করার জন্য, আমি এখানে সবার কাছে এটা পরিষ্কার মনে করি যে ব্যবহারকারীর আসল পাসওয়ার্ড পুনরুদ্ধার করা, খারাপ অভ্যাস এবং সাধারণত একটি ভাল ধারণা নয় allowing এটি মোটেও বিরোধের মধ্যে নয় ...
আরও, আমি জোর দিয়ে বলব যে অনেকগুলি, বেশিরভাগ ক্ষেত্রেই নয় - এটি সত্যই ভুল, এমনকি বোকা, কদর্য এবং কুৎসিত ।
তবে প্রশ্ন থেকে যায় মূল অংশ প্রায় নীতি , সেখানে কোনো পরিস্থিতি যেখানে এটি প্রয়োজনীয় নাও হতে পারে IS এই নিষেধ, এবং যদি তাই হয়, কিভাবে এটি করার জন্য পরিস্থিতি সবচেয়ে সঠিক পদ্ধতিতে উপযুক্ত ।
এখন, @ থমাস, @ এসফুসনেগার এবং আরও কয়েকজন উল্লিখিত হিসাবে, এই প্রশ্নের উত্তর দেওয়ার একমাত্র সঠিক উপায় হ'ল যে কোনও (বা অনুমান) পরিস্থিতি সম্পর্কে ঝুঁকিপূর্ণ বিশ্লেষণ করা, কী কী ঝুঁকির মধ্যে রয়েছে তা বোঝা, এটি কতটা সুরক্ষিত করার পক্ষে মূল্যবান? , এবং অন্যান্য সুরক্ষাগুলি সেই সুরক্ষা বহন করতে কার্যকর play
না, এটি কোনও বাজওয়ার্ড নয়, এটি বাস্তব-লাইভ সুরক্ষা পেশাদারের জন্য অন্যতম একটি প্রাথমিক, সবচেয়ে গুরুত্বপূর্ণ সরঞ্জাম। সর্বোত্তম অনুশীলনগুলি এক পর্যায়ে ভাল (সাধারণত অনভিজ্ঞ এবং হ্যাকদের দিকনির্দেশ হিসাবে), চিন্তাভাবনা ঝুঁকি বিশ্লেষণের দায়িত্ব নেওয়ার পরে।
হ্যাঁ, এটি মজাদার - আমি নিজেকে সর্বদা সুরক্ষা ধর্মান্ধদের মধ্যে বিবেচনা করতাম এবং কোনওরকমভাবে আমি সেই তথাকথিত "সুরক্ষা বিশেষজ্ঞ" এর বিপরীত দিকে ছিলাম ... ভাল, সত্য - কারণ আমি একজন ধর্মান্ধ, এবং প্রকৃত বাস্তবজীবনের সুরক্ষার বিশেষজ্ঞ - আমি যে সমস্ত গুরুত্বপূর্ণ ঝুঁকি বিশ্লেষণ ছাড়াই "সেরা অনুশীলন" ডগমা (বা সিডব্লুইই) স্পাউটিংয়ে বিশ্বাস করি না ।
"আসল সমস্যাটি যে তারা রক্ষা করছে তা না জেনে যে তাদের সরঞ্জাম বেল্টে সমস্ত কিছু প্রয়োগ করতে তত্ক্ষণাতিত নিরাপত্তা জিলিয়োটকে সাবধান করুন More আরও সুরক্ষা অগত্যা ভাল সুরক্ষার সমান হয় না" "
ঝুঁকি বিশ্লেষণ, এবং সত্য সুরক্ষা ধর্মান্ধবাদীরা ঝুঁকি, সম্ভাব্য ক্ষতি, সম্ভাব্য হুমকি, পরিপূরক প্রশমন ইত্যাদি ইত্যাদির উপর ভিত্তি করে একটি চৌকস, মান / ঝুঁকিভিত্তিক ট্রেড অফকে নির্দেশ করবে যে কোনও "সুরক্ষা বিশেষজ্ঞ" যা ঝুঁকি বিশ্লেষণকে শব্দ হিসাবে চিহ্নিত করতে পারে না তাদের সুপারিশগুলির ভিত্তিতে বা যৌক্তিক ব্যবসায়ের সমর্থন করে, তবে ঝুঁকি বিশ্লেষণ কীভাবে করা যায় তা বুঝতে না পেরে ডগমা এবং সিডব্লিউইগুলিকে বাছাই করা পছন্দ করে, সিকিউরিটি হ্যাক ব্যতীত, এবং তাদের বিশেষজ্ঞরা যে টয়লেট পেপারটি প্রিন্ট করেছেন তাতে তার মূল্য নেই।
প্রকৃতপক্ষে, আমরা এইভাবেই হাস্যকর জিনিসটি পাই যা বিমানবন্দর সুরক্ষা।
তবে এই পরিস্থিতিটি তৈরি করার জন্য উপযুক্ত ব্যবসায়ের বিষয়ে কথা বলার আগে আসুন আমরা ঝুঁকিগুলি (আপাতদৃষ্টিতে দেখে নেওয়া যাক) কারণ আমাদের এই পরিস্থিতিতে সমস্ত পটভূমি তথ্য নেই, আমরা সবাই অনুমান করছি - যেহেতু প্রশ্নটি অনুমানমূলক কি পরিস্থিতি হতে পারে ...)
আসুন একটি স্বল্প-ভলিউম সিস্টেমটি ধরে নেওয়া যাক, তবুও এত ত্রৈমাসিক নয় যে এটি জনসাধারণের অ্যাক্সেস। সিস্টেমের মালিক নৈমিত্তিক ছদ্মবেশ রোধ করতে চান, তবুও "উচ্চ" সুরক্ষা ব্যবহারের সুবিধার মতো অতুলনীয় নয়। (হ্যাঁ, কোনও দক্ষ স্ক্রিপ্ট-কিডি সাইট হ্যাক করতে পারে এমন ঝুঁকিটি এসিইপিটি-র কাছে বৈধ বাণিজ্য) ... দাঁড়াও, এখন এপিটি জনপ্রিয় নয় ...?)
উদাহরণস্বরূপ, আসুন আমরা বলি যে আমি একটি বৃহত পারিবারিক জমায়েতের জন্য একটি সহজ সাইট সাজিয়ে রেখেছি, যেখানে আমরা এই বছর আমাদের শিবির ভ্রমণে যেতে চাই সেখানে প্রত্যেককেই মস্তিষ্কে ঝড় তুলতে দেয়। আমি কিছু বেনাম হ্যাকার সম্পর্কে কম চিন্তিত, এমনকি চাচাত ভাই ফ্রেড বারবার পরামর্শে পিছু হটানামানাবিকিলিকিতে ফিরে যেতে চাইছি, কারণ আমি আন্টি এরমা যখন প্রয়োজন হবে তখন লগইন করতে সক্ষম হচ্ছিলাম না। এখন, আন্টি ইরমা, একজন পারমাণবিক পদার্থবিজ্ঞানী, পাসওয়ার্ডগুলি মনে রাখা বা কম্পিউটার ব্যবহার করা মোটেই ভাল নয় ... তাই আমি তার পক্ষে সম্ভব সমস্ত ঘৃণা অপসারণ করতে চাই। আবার, আমি হ্যাক সম্পর্কে উদ্বিগ্ন নই, আমি কেবল ভুল লগইনের নির্বিকার ভুলগুলি চাই না - আমি জানতে চাই কে আসছে, এবং তারা কী চায়।
যাই হোক।
তাহলে এখানে আমাদের মূল ঝুঁকিগুলি কী কী, যদি আমরা একপেশে হ্যাশ ব্যবহারের পরিবর্তে প্রতিলিপিগুলি এনক্রিপ্ট করি?
- ব্যবহারকারীদের নকল করছেন? না, আমি ইতিমধ্যে সেই ঝুঁকিটি মেনে নিয়েছি, আকর্ষণীয় নয়।
- দুষ্ট প্রশাসক? ঠিক আছে, তবে ... তবে, আমি যত্নবান হই না যদি কেউ অন্য ব্যবহারকারী, আন্তঃনাল বা না ... এর নকল করতে পারে এবং যাইহোক কোনও দূষিত অ্যাডমিন আপনার পাসওয়ার্ড পেয়ে যাচ্ছিল না কেন - যদি আপনার প্রশাসক খারাপ হয়ে যায় তবে যাইহোক এটির খেলাটি।
- আর একটি সমস্যা যে উত্থাপিত হয়েছে, পরিচয়টি আসলে বেশ কয়েকটি সিস্টেমের মধ্যে ভাগ করা হয়। আহ! এটি একটি খুব আকর্ষণীয় ঝুঁকি, এটি নিবিড় চেহারা প্রয়োজন।
আমাকে জোর করেই শুরু করা যাক এটি প্রকৃত পরিচয় ভাগ করা নয়, বরং প্রমাণ বা প্রমাণীকরণের শংসাপত্র। ঠিক আছে, যেহেতু একটি ভাগ করা পাসওয়ার্ড কার্যকরভাবে আমাকে অন্য সিস্টেমে প্রবেশের অনুমতি দেবে (বলুন, আমার ব্যাংক অ্যাকাউন্ট বা জিমেইল), এটি কার্যকরভাবে একই পরিচয়, সুতরাং এটি কেবল শব্দার্থিক ... ব্যতীত এটির । প্রত্যেকটি সিস্টেমের মাধ্যমে পরিচয় আলাদাভাবে পরিচালনা করা হয়, এই দৃশ্যে (যদিও সেখানে তৃতীয় পক্ষের আইডি সিস্টেম যেমন ওআউথ থাকতে পারে - তবুও, এই সিস্টেমে এটির পরিচয়টি পৃথক করে - এটি আরও পরে)।
যেমন, এখানে ঝুঁকির মূল বিষয়টি হ'ল ব্যবহারকারী স্বেচ্ছায় তার (একই) পাসওয়ার্ডকে বিভিন্ন সিস্টেমে ইনপুট দেবে - এবং এখন, আমি (প্রশাসক) বা আমার সাইটের অন্য কোনও হ্যাকারের জন্য খালা এরমার পাসওয়ার্ডগুলি অ্যাক্সেস করতে পারি পারমাণবিক ক্ষেপণাস্ত্র সাইট।
হুম।
এখানে কি কিছু মনে হচ্ছে না?
এটা করা উচিত।
আসুন এই বিষয়টি দিয়ে শুরু করা যাক যে পারমাণবিক ক্ষেপণাস্ত্র ব্যবস্থা রক্ষা করা আমার দায়িত্ব নয় , আমি কেবল একটি ফ্রেমকিন ফ্যামিলি আউটিং সাইট তৈরি করছি (আমার পরিবারের জন্য)। তাহলে দায় কার? উম্ম ... পারমাণবিক ক্ষেপণাস্ত্র সিস্টেম সম্পর্কে কীভাবে? Duh।
দ্বিতীয়ত, আমি যদি কারও পাসওয়ার্ড চুরি করতে চাইতাম (যে কেউ সুরক্ষিত সাইটগুলির মধ্যে একই পাসওয়ার্ডটি বারবার ব্যবহার করে এবং তাই সুরক্ষিত নয়) তবে কেন আমি আপনার সাইট হ্যাকিং করতে বিরক্ত করব? বা আপনার প্রতিসম এনক্রিপশন নিয়ে লড়াই করছেন? গোশদরনিতল, আমি কেবল আমার নিজস্ব সরল ওয়েবসাইট তৈরি করতে পারি , ব্যবহারকারীরা যা চায় তার সম্পর্কে অনেক গুরুত্বপূর্ণ সংবাদ পেতে সাইন আপ করতে পারে ... পুফো প্রেস্টো, আমি তাদের পাসওয়ার্ডগুলি "চুরি" করেছি।
হ্যাঁ, ব্যবহারকারীর শিক্ষা সর্বদা আমাদেরকে হিয়েনিতে কামড়ানোর জন্য ফিরে আসে, তাই না?
এবং এটি সম্পর্কে আপনি কিছুই করতে পারবেন না ... এমনকি যদি আপনি নিজের সাইটে তাদের পাসওয়ার্ডগুলি হ্যাশ করে রেখেছিলেন এবং টিএসএ যা ভাবতে পারে সেগুলি করতে সমস্ত কিছু করতে, আপনি তাদের পাসওয়ার্ডের সুরক্ষা যোগ করেছেন তবে তারা যদি রাখে তবে তারা যে সকল সাইটের মধ্যে টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো টুকরো করে চলা কখনও চেষ্টা করে বিরক্ত করবেন না।
অন্য একটি উপায় রাখুন, আপনি তাদের পাসওয়ার্ডগুলির মালিক নন , তাই আপনার মতো কাজ করার চেষ্টা বন্ধ করুন।
সুতরাং, আমার প্রিয় সুরক্ষা বিশেষজ্ঞরা, বয়স্ক মহিলা হিসাবে ওয়ান্ডির কাছে জিজ্ঞাসা করতেন, "ঝুঁকিটি কোথায়?"
উপরে উত্থাপিত কিছু সমস্যার উত্তরে আরও কয়েকটি পয়েন্ট:
- সিডব্লিউই কোনও আইন, বা নিয়ন্ত্রণ বা একটি মান নয়। এটি সাধারণ দুর্বলতাগুলির একটি সংগ্রহ , অর্থাৎ "সেরা অভ্যাসগুলি" এর বিপরীত।
- ভাগ করা পরিচয় ইস্যুটি একটি আসল সমস্যা, তবে এখানে নায়েসারদের দ্বারা ভুল বোঝা (বা ভুল উপস্থাপন করা)। এটি স্বতন্ত্র এবং নিজের (!) ভাগ করে নেওয়ার বিষয়টি, নিম্ন-মান সিস্টেমে পাসওয়ার্ড ক্র্যাক করার বিষয়ে নয়। আপনি যদি কোনও নিম্ন-মান এবং একটি উচ্চ-মানের সিস্টেমের মধ্যে একটি পাসওয়ার্ড ভাগ করে নিচ্ছেন তবে সমস্যাটি ইতিমধ্যে রয়েছে!
- বাই দ্বারা, পূর্ববর্তী পয়েন্টটি আসলে এই স্বল্প-মূল্য সিস্টেম এবং উচ্চ-মূল্যমানের ব্যাংকিং সিস্টেমগুলির জন্য OAuth এবং এর মতো ব্যবহার করে আবার AININST নির্দেশ করবে ।
- আমি জানি এটি কেবল একটি উদাহরণ ছিল, তবে (দুঃখের সাথে) এফবিআই সিস্টেমগুলি আশেপাশে সবচেয়ে সুরক্ষিত নয়। একেবারে আপনার বিড়ালের ব্লগের সার্ভারগুলির মতো নয়, তবে তারা আরও সুরক্ষিত কয়েকটি ব্যাংককে ছাড়িয়ে যায় না।
- এনক্রিপশন কীগুলির বিভক্ত জ্ঞান বা দ্বৈত নিয়ন্ত্রণ, কেবল সামরিক ক্ষেত্রে ঘটে না, বাস্তবে পিসিআই-ডিএসএস এখন মূলত সমস্ত বণিকদের কাছ থেকে এটি প্রয়োজন , সুতরাং এটি এখন পর্যন্ত খুব বেশি নেই (যদি মানটি ন্যায়সঙ্গত করে)।
- যারা এই অভিযোগ করছেন তাদের কাছে যারা এই জাতীয় প্রশ্নগুলি বিকাশকারী পেশাকে এত খারাপ দেখায়: এটি তাদের মত উত্তর যা সুরক্ষা পেশাকে আরও খারাপ দেখায়। আবার, ব্যবসায়-কেন্দ্রিক ঝুঁকি বিশ্লেষণ যা প্রয়োজন তা অন্যথায় আপনি নিজেকে অকেজো করে তোলেন। ভুল হওয়ার পাশাপাশি।
- আমার ধারণা, এ কারণেই কেবল একটি নিয়মিত বিকাশকারীকে নেওয়া এবং তার উপরে আরও সুরক্ষার দায়বদ্ধতা ফেলে দেওয়া, ভিন্নভাবে চিন্তাভাবনা করার প্রশিক্ষণ না দিয়ে এবং সঠিক ট্রেডঅফস অনুসন্ধান করা ভাল ধারণা নয়। কোনও অপরাধ নেই, এখানে আপনার সকলের পক্ষে, আমি এর জন্য সবই করছি - তবে আরও প্রশিক্ষণের ব্যবস্থা রয়েছে।
রক্ষে। কত দীর্ঘ পোস্ট ...
তবে আপনার মূল প্রশ্নের উত্তর দিতে, @ শানে:
- গ্রাহককে জিনিসগুলি করার সঠিক উপায়টি ব্যাখ্যা করুন।
- তিনি যদি এখনও জেদ করেন তবে আরও কিছু ব্যাখ্যা করুন, জোর দিন, যুক্তি দিন। প্রয়োজন হলে একটি তন্ত্র ছুঁড়ে ফেলুন।
- তাকে ব্যবসায়িক ঝুঁকি ব্যাখ্যা করুন। বিশদগুলি ভাল, পরিসংখ্যানগুলি আরও ভাল, একটি লাইভ ডেমো সাধারণত সেরা।
- যদি তিনি এখনও জোর দিয়ে থাকেন, এবং বৈধ ব্যবসায়ের কারণগুলি উপস্থাপন করেন - আপনার পক্ষে রায় দেওয়ার কল করার সময় এসেছে:
এই সাইটটি কি কম-মূল্য-নয়? এটি কি আসলেই একটি বৈধ ব্যবসায়ের মামলা? এটা কি আপনার পক্ষে যথেষ্ট? আপনি বিবেচনা করতে পারেন এমন কোনও ঝুঁকি রয়েছে কি না, এটি বৈধ ব্যবসায়ের কারণে অতিক্রম করবে? (এবং অবশ্যই, ক্লায়েন্টটি কোনও বিদ্বেষপূর্ণ সাইট নয়, তবে এটি দুষ্)।
যদি তা হয় তবে ঠিক এগিয়ে যান। প্রয়োজনীয় প্রক্রিয়াটি স্থানে রাখার জন্য প্রচেষ্টা, ঘর্ষণ এবং হারানো ব্যবহারের (এই হাইপোটিকাল পরিস্থিতিতে) মূল্য নেই। অন্য যে কোনও সিদ্ধান্ত (আবারও, এই পরিস্থিতিতে) একটি খারাপ বাণিজ্য is
সুতরাং, নীচের লাইন, এবং একটি আসল উত্তর - এটিকে একটি সাধারণ প্রতিসম আলগরিদম দিয়ে এনক্রিপ্ট করুন, শক্তিশালী এসিএল এবং পছন্দসই ডিপিপিআই বা অনুরূপ সহ এনক্রিপশন কীটি সংরক্ষণ করুন, এটি নথি করুন এবং ক্লায়েন্টকে (সেই সিদ্ধান্ত নেওয়ার পক্ষে যথেষ্ট বয়স্ক কেউ) সাইন অফ করুন এটা।