सत्यापन कोड इतनी देर तक मान्य रहना चाहिए कि वह पहुँच सके और दर्ज किया जा सके, लेकिन उसका अनुमान लगाने या उसे दोबारा उपयोग करने का मौका सीमित रहे। अवधि चुनने से पहले पूरे सत्यापन फ़्लो को मापें।
सत्यापन कोड कितने समय तक मान्य रहना चाहिए?
भेजे गए प्रमाणीकरण कोड के लिए अधिकतम दस मिनट दें, जिसमें डिलीवरी और कोड दर्ज करने का समय भी शामिल है।
NIST के प्रमाणीकरण दिशानिर्देश अलग चैनल से होने वाले प्रमाणीकरण के लिए यही अधिकतम सीमा तय करते हैं। वे यह भी अनिवार्य करते हैं कि सर्वर कोड को केवल एक बार स्वीकार करे, ताकि सफल प्रमाणीकरण के बाद उसका दोबारा उपयोग न हो सके।
कोड सफल होते ही उसे उपयोग किया गया चिह्नित करें। अगर वही कोड फिर से जमा किया जाए, तो उसे अस्वीकार करें, भले ही वह समाप्ति से पहले पहुंचे।
दस मिनट अधिकतम सीमा है, अनुशंसित प्रतीक्षा अवधि नहीं। अगर डिलीवरी और कोड दर्ज करने के आपके माप अनुमति दें, तो छोटी अवधि चुनें।
जो कोड पहुंचने में चालीस सेकंड लेता है, वह दस मिनट की अवधि में नौ मिनट बीस सेकंड छोड़ता है। अपने पहुंचने के समय के माप का उपयोग करते समय पढ़ने और टाइप करने का समय भी जोड़ें।
ऑथेंटिकेटर से बनाए गए कोड समय के एक अलग मॉडल पर चलते हैं। जब ऐप्लिकेशन कोड को स्थानीय रूप से बनाता है, तो संबंधित TOTP या HOTP नियमों का पालन करें।
इसमें कितने अंक होने चाहिए?
कम से कम छह यादृच्छिक रूप से बनाए गए अंकों का उपयोग करें। असफल अनुमानों की एक सीमा तय करें।
NIST भेजे गए प्रमाणीकरण रहस्यों के लिए किसी स्वीकृत यादृच्छिक जनरेटर से कम से कम छह दशमलव अंक अनिवार्य करता है। अनुमान लगाया जा सकने वाला काउंटर या टाइमस्टैम्प इस आवश्यकता को पूरा नहीं करता।
छह यादृच्छिक अंकों से दस लाख संभावित कोड बनते हैं। पांच अलग-अलग अनुमानों के सफल होने की संभावना दस लाख में पांच, यानी दो लाख में एक होती है।
असफल प्रयासों को खाते के आधार पर गिनें। NIST के अनुसार नया कोड जारी करने पर भी वह गिनती बनी रहनी चाहिए, ताकि कोड दोबारा भेजने से असीमित अनुमान न मिल सकें।
प्रयास की सीमा लगाने पर उन वैध उपयोगकर्ताओं के लिए भी पहुँच वापस पाने का रास्ता चाहिए जो यह सीमा पूरी कर लेते हैं। तय करें कि वे दोबारा पहुँच कैसे पाएँगे, ताकि किसी हमलावर के लिए सीमा रीसेट न हो।
क्या मुझे इसके बजाय आठ अंकों का उपयोग करना चाहिए?
आठ अंकों का उपयोग तब करें, जब अनुमान से सही कोड लगने की कम संभावना उपयोगकर्ता के लिए दो अतिरिक्त अंक दर्ज करने का बोझ उचित ठहराए।
आठ रैंडम अंकों से दस करोड़ संभावित कोड बनते हैं। पाँच अनुमानों के साथ संभावना दस करोड़ में पाँच हो जाती है।
यह छह अंकों पर पाँच अनुमानों की तुलना में सौ गुना कम है। कोड की लंबाई बढ़ाते समय प्रयास की सीमा वही रखें।
लंबे कोड असीमित अनुमानों की समस्या को ठीक नहीं करते। अतिरिक्त अंकों को पर्याप्त सुरक्षा मानने से पहले प्रयास की सीमा लागू करें।
Bird में मैं क्या कॉन्फ़िगर कर सकता हूँ?
वर्कस्पेस की सत्यापन कोड नीति सेट करें। हर सत्यापन के लिए लौटाई गई लागू सेटिंग्स जाँचें।
| फ़ील्ड | क्या चुनें |
|---|---|
code_length | Bird में 4 से 8 वर्ण स्वीकार किए जाते हैं। इस नीति के लिए कम से कम छह चुनें |
code_type | लौटाए गए कैरेक्टर सेट की जाँच करें, numeric या alphanumeric |
ttl_seconds | Bird में 1 से 59940 सेकंड तक का मान स्वीकार होता है। प्रमाणीकरण की अवधि 600 सेकंड या उससे कम रखें |
max_attempts | सत्यापन विफल होने से पहले 1 से 10 गलत सबमिशन चुनें |
resend_cooldown_seconds | प्राप्तकर्ता को दो बार भेजने के बीच 0 से 3600 सेकंड का अंतर चुनें |
API की अनुमत अवधि प्रमाणीकरण की इस सिफ़ारिश से अधिक तक जाती है। अधिकतम स्वीकार्य मान को उपयुक्त समाप्ति अवधि मानने के बजाय मान सोच-समझकर सेट करें।
कोई सत्यापन अनुरोध उस सत्यापन के लिए code_length को ओवरराइड कर सकता है। जब व्यवहार वर्कस्पेस कॉन्फ़िगरेशन से अलग हो, तो उसकी जाँच करते समय उसकी लागू नीति देखें।
मुझे क्या चुनना चाहिए?
- छह रैंडम अंकों और लागू की गई एक छोटी प्रयास सीमा से शुरुआत करें।
- वैधता अवधि को मापे गए डिलीवरी और प्रविष्टि समय के आधार पर तय करें, और उसे दस मिनट के भीतर रखें।
- जब कार्रवाई के लिए अनुमान से सही कोड पाने की कम संभावना ज़रूरी हो, तब आठ अंकों का उपयोग करें।
- हर कोड को केवल एक बार स्वीकार करें, और दूसरा कोड जारी करते समय विफल प्रयासों की गिनती बनाए रखें।
संक्षेप में
दस मिनट से अधिक समय न दें।
डिलीवरी और कोड दर्ज करना, दोनों मान्यता अवधि में से समय लेते हैं। यदि आपके मापे गए फ़्लो में संभव हो, तो छोटी अवधि चुनें।
कम से कम छह यादृच्छिक अंकों का उपयोग करें।
कोड की लंबाई चुनने के साथ-साथ गलत अनुमानों की गिनती भी करें। लंबे कोड प्रयास सीमा की जगह नहीं लेते।
हर कोड को केवल एक बार स्वीकार करें।
पहले स्वीकार किए जा चुके कोड को अस्वीकार करें, भले ही उसकी मान्यता अवधि अभी समाप्त न हुई हो।
दोबारा भेजने पर भी प्रयासों की गिनती बनाए रखें।
नया कोड जारी करने से खाते को अनुमान लगाने के नए मौके नहीं मिलने चाहिए।