میدلآیدی حالت پانیک را اضافه کرد: چه اتفاقی میافتد وقتی به حساب کاربری دیگر نمیتوان اعتماد کرد
در میدلآیدی مکانیزمهای جدید حفاظت برای موقعیتهای غیرمعمول معرفی شده است: تغییر رمز عبور به تعویق افتاده، پایان خودکار فرآیند بازیابی بدون برنامه موبایل و حالت پانیک که دسترسیهای فعال را لغو میکند، تلاشهای ناموفق برای تغییر رمز عبور را مسدود مینماید و در عین حال دادههای ذخیرهشده کاربر را حذف نمینماید.
در مقاله قبلی درباره میدلآیدی، توضیح دادم که سامانه چگونه در حالت عادی کار میکند: پروفایل قابل مدیریت، کمک به ورود به سرویسهای متصل، همگامسازی رکوردهای TOTP بین دستگاهها و تایید ثبتنامهای جدید از طریق برنامه موبایل.
اما هر سامانه هویتسنجی، سناریویی دارد که معمولا خیلی دیر یادشان میشود: چه باید کرد اگر کاربر دیگر به وضعیت فعلی دسترسی مطمئن نیست؟
برای این کار لازم نیست حتما بدانید که هک شدهاید. گاهی فقط یک ایمیل غیرمنتظره برای تغییر رمز، سشن ناشناخته یا ورود از دستگاهی که مالک نمیشناسد، کافی است.
در چنین شرایطی، دو مکانیزم جدید در میدلآیدی معرفی شده است: تغییر رمز عبور به تعویق افتاده و حالت پانیک.
ابتدا باید ساختار رمز عبور در میدلآیدی را درک کنید
در میدلآیدی، کاربر خودش رمز عبور عبور نمیدهد — این رمز توسط سامانه تولید میشود. این کار فوراً مشکلات مربوط به پسوردهای ضعیف، تکراری بودن یا انتخاب خودسرانه را حذف میکند.
همچنین، رمز عبور فعلی به کاربر ایمیل نمیشود؛ صندوق پستی جایی نیست که بتوان رمز عبور فعلی میدلآیدی را دریافت کرد.
روش بازیابی هم لو رفتن رمز قدیمی را فاش نمیکند، بلکه اجازه میدهد رمز جدیدی ایجاد شود.
در نتیجه، لو رفتن ایمیل، تهدید دیگری به همراه دارد: کسی که به صندوق ایمیل دسترسی دارد، رمزی که هنوز معتبر است را نمیداند اما میتواند تلاش کند روند بازیابی را آغاز کرده و رمز جدیدی تعیین نماید.
این سناریو یکی از دلایل تغییر منطق فرآیند بازیابی است.
حالا رمز بلافاصله تغییر نمیکند
در حالت معمول، فرآیند بازیابی تقریباً بلافاصله انجام میشود: کاربر درخواست رمز جدید میدهد، ایمیل دریافت میکند و عمل را تکمیل مینماید.
این برای زمانی مناسب است که ایمیل در اختیار مالک است. اما اگر دیگران به آن دسترسی داشته باشند، این روند فوری میتواند ایمیل را به راه مستقیمی برای دسترسی به حساب تبدیل کند.
در میدلآیدی، درخواست رمز جدید ابتدا هشدار محسوب میشود نه جایگزینی سریع. کاربر اطلاع داده میشود و پس از آن، دوره انتظار آغاز میشود.
مدت این دوره میتواند تغییر یابد، اما اصل همان است که میان درخواست و فعالسازی رمز جدید، زمانی برای بررسی وضع موجود وجود دارد.
در این مدت، رمز قبلی همچنان معتبر باقی میماند. بنابراین، تنها درخواست بازیابی، به معنای کنترل کامل حساب نیست.
اگر برنامه در دسترس نباشد
یک سناریوی مهم وجود دارد که ممکن است نادیده گرفته شود: کاربر میتواند رمز را بازیابی کند اما به برنامه میدلآیدی دسترسی نداشته باشد—مثلاً تلفن را گم کرده، خراب شده، باتریاش تمام شده یا موقتاً در دسترس نباشد.
در این حالت، بازیابی همچنان میتواند انجام شود؛ پس از پایان دوره تعیین شده، رمز جدید به طور خودکار فعال میشود. برنامه موبایل در فرآیند معمولی بازیابی ضروری نیست.
بنابراین، کسی که خودش فرآیند تغییر رمز را راه انداخته و حالا نمیتواند برنامه را باز کند، نباید فرآیند را از نو شروع کند. کافی است صبر کند تا پایان یابد و با رمز جدید وارد شود.
اگر برنامه در دسترس باشد، امکانات بیشتری وجود دارد: کاربر میتواند فوری رمز جدید را فعال کند یا درخواست مشکوک را لغو نماید. اما اگر برنامه نیست، روند تعویق شده معمول ادامه مییابد.
کاربر تصمیمگیرنده است
اگر درخواست واقعی توسط مالک حساب راه اندازی شده باشد و برنامه در دسترس باشد، میتواند وارد شده و رمز جدید را سریع فعال کند، بدون انتظار کامل دوره انتظار.
اگر درخواست غیرمنتظره باشد، میتواند آن را لغو کند. در این صورت، رمز جدید فعال نمیشود و رمز قبلی باقی میماند.
این تغییر مهم در منطق بازیابی است؛ سیستم هر درخواست را فقط به خاطر اینکه از طریق ایمیل شروع شده، درست نمیداند. فرصت میدهد کاربر با دستگاه مطمئن تصمیم بگیرد.
فرض کنید کاربر هشدار دریافت کرده است ولی خودش درخواست نداده. او درخواست را لغو میکند و بعد از آن، به بررسی ایمیل، دستگاهها و فعالیتهای مشکوک میپردازد.
میدلآیدی نمیتواند کنترل صندوق ایمیل مخدوششده را بازیابی کند، اما نمیگذارد این مخدوشی سریع، رمز جدید حساب اصلی را فعال کند.
حالت پانیک دسترسیهای فعال را لغو میکند
تغییر رمز به تعویق افتاده، زمان خریدن است. حالت پانیک زمانی است که این زمان کافی نیست و کاربر میخواهد دسترسیهای فعال قبلی را فوراً قطع کند.
این حالت از طریق برنامه موبایل با یک اقدام فعال میشود.
پس از فعالسازی، سامانه توکنهای فعال — کلیدهای دسترسی که سرویسها و سایتها از آن برای شناسایی ورود کاربر استفاده میکنند — را لغو مینماید. همچنین، سشنهای جاری در گوشیهای موبایل و مرورگرهای مرتبط هم پایان میپذیرند.
این امر فقط به سشن جاری در گوشی محدود نمیشود. دسترسی در دیگر تلفنها، تبلتها، مرورگرها و اپلیکیشنهای مرتبط نیز لغو میشود.
این حالت برای مدت مشخصی فعال است. مدت آن قابل تغییر است، اما اصل مهم این است که دسترسیهای جاری قطع شوند و کاربر زمانی داشته باشد برای بررسی وضعیت.
پانیک دادهها را حذف نمیکند
عنوان این حالت ممکن است پرخاشگرانه به نظر برسد، بنابراین باید توضیح دهیم که چه کاری انجام نمیدهد.
حالت پانیک رکوردهای TOTP، پروفایل، تنظیمات یا هر داده دیگر کاربر را حذف نمیکند. محتواهای حساب حذف نمیشود و حساب به شکل خالی نمیگردد.
وضعیت دسترسی تغییر میکند: توکنهای فعال لغو میشوند و سشنهای جاری بسته میگردند. پس از بازگرداندن حساب به حالت عادی، دادههای ذخیره شده باقی میمانند و نیاز به افزودن مجدد ندارند.
این تفاوت اساسی بین توقف اضطراری دسترسی و حذف کامل محتوای حساب است. کاربر میتواند اتصالهای موجود را ببندد، بدون اینکه نگران حذف دادههای ثبت شده یا تنظیمات باشد.
در ارتباط با تغییر رمز در حالت پانیک چه اتفاق میافتد
حالت پانیک یک قانون مهم دیگر دارد: کلیه تلاشهای تکمیل نشده برای تغییر رمز را متوقف میکند.
چه زمانی درخواست رمز جدید داده شده باشد—قبل یا حین فعالسازی حالت پانیک—تأثیری ندارد. این درخواست به صورت خودکار پس از ترک حالت پانیک پایان نمییابد.
پس از پایان حالت پانیک، رمز معتبر همان است که قبل از فعالسازی تعیین شده بود.
این کار عمدی است.
فرآیند معمول بازیابی بر این اساس است که مالک حساب بتواند درخواست مشکوک در برنامه MeldID را ببیند و قبل از فعالسازی رمز، آن را لغو کند.
در حالت پانیک، نمیتوان بر این سناریو تکیه کرد.
فرض کنید کاربر فعالیت مشکوکی دیده و حالت حفاظتی فعال کرده است. اگر در این هنگام، تایمر معمول بازیابی ادامه یابد، مهاجم میتواند در طول پانیک درخواست رمز جدید دهد. اگر دوره انتظار قبل از پایان حالت حفاظتی تمام شود، رمز جدید فعال میشود و کنترل حساب قبل از بازگشت به حالت عادی، تغییر میکند.
در نتیجه، پارادوکس رخ میدهد: کاربر حفاظتی فعال کرده، اما سیستم در این دوره اجازه تغییر رمز میدهد؛ در حالی که کاربر نمیتواند اقدام لازم برای لغو معمولی را انجام دهد.
بنابراین، پانیک روند بازیابی را موقتا متوقف نمیکند، بلکه فرآیند آن را قطع مینماید.
درخواستهای قبلی قبل از فعالسازی پانیک، پس از پایان آن، نمیتوانند رمز را تغییر دهند. همینطور درخواستهایی که در حین وضعیت حفاظت فعال شدهاند.
بنابراین، هیچ چیز از فرآیندهای ناتمام بازیابی، از طریق مرزهای پانیک عبور نمیکند.
و اگر کاربر خودش بخواهد ابتدا رمز را تغییر دهد
در حالت پانیک، کاربر در انتخاب ترتیب اقدامات محدود نمیشود.
اگر دسترسی به برنامه MeldID دارد و قصد دارد رمز را هم تغییر دهد، میتواند ابتدا رمز را درخواست کرده و سپس رمز جدید را در برنامه تایید کند.
در این حالت، تغییر رمز قبل از فعالسازی پانیک انجام میشود.
سپس، کاربر حالت حفاظتی را با رمز جدید فعال میکند. همان رمزی که پس از پایان پانیک باقی میماند.
روش دیگر این است که ابتدا پانیک را فعال کند، مشکل فعالیت مشکوک را بررسی کند، و پس از رفع مشکل، در صورت نیاز، فرآیند تغییر رمز جدیدی راهاندازی نماید.
هدف مکانیزم این نیست که کاربر را مجبور کند تنها در یک چرخه عمل کند. قانون اصلی این است که تغییر رمز ناتمام نباید از حالت پانیک عبور کند.
پانیک زمان بازگرداندن کنترل بر ایمیل را فراهم میکند
یک سناریو وجود دارد که این مکانیزم به طور خاص در آن اهمیت پیدا میکند: کاربر معتقد است مشکل نه در میدلآیدی و گوشی او بلکه در ایمیل است.
در واقع، ایمیل به عنوان یکی از کانالهای بازیابی استفاده میشود. بنابراین، مخدوش شدن آن حتی زمانی که رمز فعلی میدلآیدی ناشناخته باقی میماند، خطرناک است.
در چنین شرایطی، کاربر میتواند حالت پانیک را فعال کند و مستقیماً به منبع مشکل بپردازد: دسترسی به حساب ایمیل را بازیابی، رمز آن را تغییر، جلسات ناشناس را خاتمه دهد و تنظیمات امنیتی را چک کند.
در مدت فعال بودن پانیک، فرآیند بازیابی نمیتواند رمز فعلی جدیدی فعال کند.
اگر کسی قبل از فعالسازی پانیک، درخواست بازیابی داده باشد، این تلاش در برابر حالت حفاظتی واکنش نشان نمیدهد. اگر درخواست جدید در زمان پانیک باشد، نتیجه همان است.
این به معنی یک پنجره ایمنی موقت است: دسترسیهای میدلآیدی دیگر لغو شده است، ایمیل مخدوش میتواند برای تنظیم رمز جدید حساب استفاده نشود، و کاربر فرصت دارد کنترل ایمیل را پس بگیرد.
پس از پایان حالت حفاظتی، رمز قبلی میدلآیدی همچنان معتبر است. اگر کنترل ایمیل بازگردانده شده و مشکل دیگری نباشد، کاربر میتواند به وضعیت عادی برگردد.
در صورت نیاز، میتواند رمز را تغییر دهد.
دلایل زیادی برای فعال کردن پانیک وجود دارد
برای فعالسازی این حالت، نیازی نیست ابتدا اثبات هک بودن سیستم را انجام دهید.
ممکن است گوشی در دست غریبه باشد، سشن ناشناس دیده شود، یا اطلاعیه ناگهانی در مورد ورود یا بازیابی دریافت شود. گاهی اوقات، سوءظن نه بر اساس یک واقعه، بلکه بر مجموعهای از نشانههای کوچک است.
در این موارد، اولوِیت کاربر میتواند قبل از اقدام محافظتی، دسترسیهای فعال را موقتا مسدود کند و سپس بررسیهای لازم انجام دهد.
میدلآیدی بر این اصل ساده استوار است: اگر مالک حساب وضعیت خطرناکی میبیند و به برنامه مطمئن دسترسی دارد، باید بتواند سریع حالت حفاظتی را فعال کند. سیستم نیاز ندارد در ابتدا اثبات حمله باشد.
چرا تغییر رمز کافی نیست
رمز عبور تنها یک عنصر احراز هویت است. اگر در جایی فعال بودن یک جلسه جاری یا توکن دسترسی وجود داشته باشد، تغییر تنها رمز به خودی خود همان اقدام لغو دسترسیهای قبلی نیست.
به همین دلیل است که حالت پانیک گستردهتر عمل میکند. او تنها یک پارامتر حساب کاربری را تغییر نمیدهد، بلکه کل حساب را در وضعیت محافظتی جداگانه قرار میدهد.
ترتیب اقدامها به شرح زیر است:
جلسات و توکنهای فعال لغو میشوند؛
تلاشهای ناتمام تغییر رمز قبل از پانیک متوقف میشوند؛
درخواستهای بازیابی در حین پانیک پس از پایان حالت، نمیتوانند رمز را تغییر دهند؛
رمزی که قبل از حالت پانیک وارد شده، همچنان معتبر است؛
کاربر فرصت دارد ایمیل، دستگاهها و دیگر منابع مشکل را بررسی کند;
پس از بازگشت به وضعیت عادی، حساب به کار طبیعی برمیگردد یا در صورت نیاز، رمز جدیدی تعیین میشود.
این نه جایگزین سیستمهای امنیتی معمول است و نه تنها در وضعیت اضطراری، زمانی است که اعتماد به وضعیت دسترسی موقتاً از بین رفته است.
برنامه موبایل به عنوان نقطه اطمینان
قابلیتهای جدید در برنامههای میدلآیدی برای iPhone و Android موجود است. در این معماری، تلفن نه فقط یک دستگاه دیگر برای ورود است، بلکه نقطه اعتماد برای مدیریت امنیت حساب میباشد.
از طریق برنامه میتوان:
تایید تغییر رمز به تعویق افتاده؛
لغو درخواست مشکوک؛
فعالسازی حالت پانیک؛
وقف فعالیت سشنهای فعال در دستگاههای مختلف؛
تصمیمگیری درباره ادامه عملیات با حساب در آینده.
در عین حال، برنامه موبایل، رکورد TOTP را لغو نمیکند و جایگزین سایر روشهای حفاظت نمیشود. بلکه کانال مدیریتی جداگانه برای مواقعی که احراز هویت معمول کافی نیست، اضافه میکند.
مرز امنیتی میدلآیدی کجاست
مهم است که امنیت مکانیزم میدلآیدی و امنیت محیطی که در آن استفاده میشود، جدا دیده شوند.
میدلآیدی طوری طراحی شده است که خود سرویس کانال معمول برای دریافت رمز فعال را نمیسازد. رمز توسط سامانه تولید میشود، از طرف کاربر انتخاب نمیگردد و از طریق ایمیل ارسال نمیشود. فرآیند بازیابی هم رمز موجود را فاش نمیکند و صرفاً میکوشد رمز جدیدی ارائه دهد.
با این حال، کاربر میتواند اطلاعات حساب خود را خود فاش کند، مثلاً با انتقال آن به فرد دیگر یا وارد کردن در جایی که نباید وارد میکرد.
سطح دیگر، امنیت دستگاه و سیستمعامل است؛ برنامه موبایل در داخل سیستمهای حفاظتی iOS و Android عمل میکند و نمیتواند جایگزین امنیت اصلی سیستم شود.
در نتیجه، تمرکز میدلآیدی بر روی ریسکهایی است که در سمت خودش قابل کنترل است: تولید دادههای حساب، احراز هویت، توکنها، سشنها، فرآیند بازیابی و واکنش به نقض احتمالی کانال بازیابی.
از ورود به واکنش
وقتی برای نخستین بار با میدلآیدی آشنا شدم، میشد آن را به عنوان سامانه هویت واحد و مدیریت پروفایل توصیف کرد. اما پس از عرضه برنامههای موبایل و ظهور مکانیزمهای جدید الحاقی، این توصیف خیلی محدود شد.
اکنون، سیستم نه تنها به سوال «چگونه وارد شویم؟» پاسخ میدهد، بلکه به پرسشهای پیچیدهتر نیز پاسخ میدهد:
چه زمانی در فرآیند ناخواسته بازیابی، باید اقدام کرد؟
چگونه حساب را بدون دسترسی به برنامه بازیابی کنیم؟
چگونه زمانی برای بررسی قبل از فعالسازی رمز جدید، کسب کنیم؟
چگونه لغو فرآیند بازیابی که توسط مالک راهاندازی نشده است؟
چگونه سشنهای فعال را لغو کنیم؟
چگونه مانع تغییر رمز توسط ایمیل مخدوش در حالت اضطراری شویم؟
چگونه کنترل کانال بازیابی خارجی را برگردانیم؟
چگونه هنگام قطع دسترسیها، دادههای کاربر حفظ گردد؟
چگونه پس از بررسی، به حالت عادی بازگردیم؟
در نتیجه، یک مدل محافظت مرحلهای شکل میگیرد.
رمز جاری میدلآیدی از طریق کانال بازیابی منتقل نمیشود. دسترسی به ایمیل خودش فاش نمیکند، اما میتواند شروع فرآیند رمزسازی جدید را ممکن سازد. بنابراین، فرآیند بازیابی با تاخیر انجام میشود و میتواند از طریق برنامه معتبر لغو گردد.
در صورت نیاز، حالت پانیک، سشنهای فعال را قطع میکند، توکنها را لغو مینماید و روند ناتمام بازیابی را از ادامه فعالیت بازمیدارد.
کاربر با این طرح، زمان مهمترین دارایی در زمان وقوع واقعه را کسب میکند: زمانی برای بازپسگیری کنترل بر ایمیل، بررسی دستگاهها، درک مشکل و در نهایت، بازیابی سیستم.
برای این است که، حالت پانیک در میدلآیدی نه فقط یک دکمه «خروج از همه جا»، بلکه یک سناریوی واکنش اضطراری است که در مواقعی بکار میرود که اعتماد به دسترسی جاری موقتاً از دست رفته است.
برای اطلاعات بیشتر درباره پروژه: meldid.de.