Προστασία σύντομου συνδέσμου με κωδικό

Τι κάνει η κλειδαριά

Προστατευμένος σύνδεσμος ανοίγει σελίδα που ζητά τον κωδικό και τίποτα άλλο. Ο προορισμός, ο τίτλος του και η διεύθυνση του μένουν κρυμμένοι ως να σταλεί ο σωστός κωδικός· λάθος φέρνει σφάλμα και πάλι την πύλη. Ο έλεγχος είναι POST στη διαδρομή /unlock του συνδέσμου — φόρμα, όχι παράμετρος URL — ώστε ο κωδικός να μην καταλήγει ποτέ στη γραμμή διεύθυνσης, σε γραμμή ημερολογίου ή σε φύλλο κοινοποίησης (RFC 3986 κρατά το τμήμα userinfo ενός URI για πιστοποιητικά, και η υπηρεσία αυτή απορρίπτει συνδέσμους που το κρύβουν· κωδικός στη συμβολοσειρά ερωτήματος είναι το ίδιο λάθος με σύγχρονα ρούχα).

Πώς μοιάζει καλός κωδικός εδώ

NIST SP 800-63B ζητά οι κωδικοί να εκτιμώνται σε μήκος και λίστες διαρροών, όχι σε κανόνες σύνθεσης. Η συμβουλή που επιβιώνει σε σύνδεσμο κοινοποίησης: μακρός, πρόταση, κοινοποιημένος από άλλο κανάλι από τον σύνδεσμο — μήνυμα λέει τον σύνδεσμο, τηλεφώνημα λέει τον κωδικό.

• Τέσσερις λέξεις νικούν μία λέξη και τρία σύμβολα.
• Κεφαλαία μετράνε: η πύλη το λέει πριν πληκτρολογήσει κανείς.
• Αν διαρρεύσει, ξαναφτιάξτε τον σύνδεσμο για αλλαγή· ο παλιός πεθαίνει στη λήξη του, όπως πάντα.

Τι δεν κάνει η κλειδαριά

Είναι ένας μοιρασμένος κωδικός, όχι λογαριασμοί: όποιος τον έχει περνά, και δύο κάτοχους δεν διακρίνει. Το όριο ρυθμού επιβραδύνει την εικασία από μία διεύθυνση, και επιτιθέμενος με εκατομμύριο δοκιμές εναντίον φράσης τεσσάρων λέξεων είναι το ίδιο πρόβλημα που εκτιμά η NIST εκτός εμβέλειας. Ό,τι πρέπει να είναι εμπιστευτικό και όχι απλώς μη καταγεγραμμένο, πηγαίνει από κανάλι που κρυπτογραφεί· θεωρήστε αυτή την πύλη την πόρτα μπροστά.