Hesaba erişim e-postası geç ulaştığında, kullanıcılar genellikle birkaç tane daha talep eder. Bu, yinelenen mesajlara, kafa karıştırıcı geçerlilik pencerelerine ve ekstra kuyruk yüküne neden olabilir. DNS suçlamadan veya her belirtecin ömrünü uzatmadan önce istekten başarılı kullanıma kadar olan yolculuğu teşhis edin.
Düzenlenmiş bir etkinlik zaman çizelgesi oluşturun
Birleştirme isteğinin kabul edilmesi, jetonun oluşturulması, işin kuyruğa alınması, sağlayıcının kabul edilmesi, alıcı yanıtı ve jetonun kullanılması veya reddedilmesi için dahili bir korelasyon tanımlayıcısı kullanın. Belirteci, sıfırlama URL'sini veya OTP'yi rutin günlüklere koymayın. Sorun giderme için gereken her türlü mesaj örneğine erişimi oldukça sınırlı olacak şekilde tanımlayıcıları ve neden kategorilerini kaydedin.
SMTP kabulü, bir sunucunun bu aşamada sorumluluğu kabul ettiği anlamına gelir; gelen kutusunun yerleşimini veya mesajı okuyan bir insanı göstermez. Destek takımlarında bu ayrımı koruyun. RFC 5321.
OWASP günlük kaydı kılavuzu rutin günlüklerden sırları hariç tutarken korelasyonu destekler.
Kimlik doğrulamayı başvuru geçerliliğinden ayırın
Nihai kontrol edilen mesajları, amaçlanan gönderen kimlikleri ve güvenilir alıcı kimlik doğrulama sonuçları açısından inceleyin. Eski bir satıcı yapılandırması, haber bültenleri çalışırken bile bu rotayı bozabilir. Bunun tersine, posta kimlik doğrulamasını geçmek, süresi dolmuş veya önceden kullanılmış bir uygulama belirtecini geçerli hale getiremez.
OWASP, hesap numaralandırmaya ve aşırı taleplere karşı uygun son kullanma tarihi, güvenli depolama ve koruma özelliklerine sahip, güvenli bir şekilde oluşturulmuş, tek kullanımlık belirteçler veya kodlar önerir. Parola sıfırlama kılavuzu, e-posta teslim gecikmesi hakkında bir vaat değil, sıfırlama akışları için güvenlik temeli sağlar. OWASP Şifremi Unuttum kılavuzu.
Diğer kimlik doğrulama kullanımlarına yönelik e-postayla gönderilen kodlar, kendi güvenlik değerlendirmelerini gerektirir. E-posta bulundurmayı kimlik avına karşı korumalı kimlik doğrulama olarak tanımlamayın ve parola sıfırlama önerisinin her OTP dağıtımını onayladığını varsaymayın. NIST , dijital kimlik gereksinimleri kapsamında, e-postayı bant dışı kimlik doğrulayıcı olarak yasaklarken, adres doğrulama ve kurtarma kodlarını bu yasaktan ayırır. NIST SP 800-63B-4 bölüm 3.1.3 ve 3.1.3.1.
Geçerlilik bütçesini kullanın
Varsayımsal bir zaman çizelgesi, token oluşturma işlemini 09:00:00 olarak ve sona erme tarihini ise 09:05:00 olarak belirler. Sağlayıcı kabulü 09:00:10 , alıcı kabulü 09:04:40 ve örnek kullanıcı eylemi 09:05:20 gerçekleşir. Alıcı kabulüne sadece 20 saniye kaldı; eylem, sürenin dolmasından 20 saniye sonra gerçekleşir.
Bir tokenın süresi dolduğunda veya sonrasında geçersiz olduğuna dair beyan edilen bir politika uyarınca, ikinci 299'da sunulan, aksi takdirde geçerli, kullanılmamış bir token hala bu beş dakikalık pencere içinde olacaktır, ancak 300 veya 301. saniyedeki sunum bu olmayacaktır. Halihazırda kullanılmış bir token, yalnızca zaman kaldığı için yeniden kullanılabilir hale gelmemelidir. Bunlar, yürütülen jeton kontrolleri veya önerilen evrensel yaşam süresi değil, icat edilen politika kapsamında beklenen sonuçlardır.
Uygulanabilir soru, oluşturma ile alıcının kabulü arasındaki 280 saniyenin nereye gittiğidir. Sağlayıcının ikinci 10'da kabul edilmesi, sonraki 270 saniyenin tamamen tek bir sağlayıcıda geçirildiğini kanıtlamaz; Sorumluluğu atamadan önce kuyruk ve yanıt kanıtlarını edinin. Gelen kutusunun görünürlüğü hala bilinmiyor. Hiçbir gerçek token, üretim hesabı veya teslimat test edilmedi.
Başarısız aşamayı onarın
Uygulama çok yavaş sıraya giriyorsa hesaba erişim iş yüküne öncelik verin ve önlenebilir toplu gecikmeleri ortadan kaldırın. Sağlayıcı geçici hatalar bildirirse yanıtların tamamını ve desteklenen yeniden deneme işlemlerini inceleyin. Belirteç daha yeni bir istek tarafından geçersiz kılınırsa, kimliği doğrulanmamış bir istek sahibine bir hesabın mevcut olup olmadığını açıklamadan bu davranışı anlaşılır hale getirin.
Tekrarlanan tıklamaların posta seline dönüşmesini önlemek için hız sınırlarını kullanın ve genel istek yanıtlarını temizleyin. Yeniden denemeleri uygulamanın belirteç ilkesiyle uzlaştırın. Eski bir mesajı körü körüne yeniden göndermek, zaten geçersiz olan bir belirtecin teslim edilmesine neden olabilir; sınırsız yeni belirteçlerin verilmesi ise kötüye kullanım riskini artırabilir.
Sırları kaydetmeden doğrulayın
Onaylanmış kontrollü hesapları ilgili hedeflerde test edin ve aşama gecikmesini, sona erme sonucunu ve mükerrer işlemleri kaydedin. Geçerlilik süresinin sona ermesi, jeton oluşturma veya hesap kurtarma ile ilgili herhangi bir değişiklik, güvenlik incelemesini gerektirir; Kullanım ömrünü uzatmak kuyrukları düzeltmenin yerini tutmaz.
Olayı aşamaya özel bir neden, kapsamlı iyileştirme ve ölçülü müşteri yolculuğu ile kapatın. Kalan görünürlük boşluklarını açık tutun. Destek, müşterinin mesajı okuduğunu iddia etmeden veya kimlik bilgilerini ifşa etmeden "alıcı tarafından kabul edildi, geçerlilik süresi doldu" açıklamasını yapabilmelidir.
Başarısız aşamadan sahibini seçin
Kuyruk gecikmesi uygulamaya veya gönderen operatöre aittir; açık bir kabul reddi yol soruşturmasına aittir; süresi dolmuş veya zaten kullanılmış bir sonuç, belirteç politikasına ve uygulama durumuna aittir. Düzenlenmiş bir korelasyon kaydını saklayın ve ilgili sahibin onaylı bir yeniden test tanımlamasını sağlayın.