युवा महिलाओं और वरीयता के साथ एसएमएस द्वारा दो-कारक प्राधिकरण

यह इस बारे में एक कहानी है कि प्राथमिक क्षेत्र "एसएमएस से कोड दर्ज करें" के लिए बड़ी संख्या में अनियमित आकार के पहियों के साथ एक साइकिल कैसे बनाई गई थी। मैं आपको दो-कारक प्राधिकरण के लिए सार्वभौमिक मॉड्यूल की आलोचना करने के लिए आमंत्रित करता हूं।

समस्या

एक बार शेफ ने मुझे दो-कारक प्राधिकरण को एक वेब सेवा से जोड़ने के लिए कहा। उपयोगकर्ता लंबे समय से उपयोगकर्ता नाम और पासवर्ड के साथ लॉग इन कर रहे हैं, और एसएमएस के माध्यम से लॉगिन की पुष्टि को जोड़ना आवश्यक था। नेटवर्क में कोई उपयुक्त तैयार समाधान नहीं था, इसलिए आपको इसे स्वयं करने की आवश्यकता है। लेकिन मैं यहां क्या कर सकता हूं, शाम तक सब कुछ हो जाएगा! सामान्य तौर पर, तीन दिनों के बाद, लॉगिन फ़ॉर्म ने मोबाइल फोन नंबर का अनुरोध किया और एसएमएस से एक कोड दर्ज करना आवश्यक था। कम पैसे के लिए कई एसएमएस प्रदाताओं में से एक के एपीआई के माध्यम से एसएमएस भेजा गया था।



जल्द ही, समाधान को PHP में किसी अन्य वेब व्यवस्थापक पैनल में फ़ाइल की मदद से स्थानांतरित किया गया था। कुछ हफ़्ते के बाद, कई शिकायतें आने लगीं कि एसएमएस बहुत देरी से आए, या बिल्कुल नहीं आए। हमने मैसेजिंग गेटवे को बदलने का फैसला किया। स्वाभाविक रूप से, दोनों सेवाओं पर। इसने लंबे समय तक मदद नहीं की, यह स्पष्ट हो गया कि एक बैकअप भेजने वाले चैनल की आवश्यकता थी। इसलिए एक या दो दिन बिताए। फिर, कुछ महीनों के बाद, सेवाओं में से एक पर, हमलावर ने उन सभी धन पर क्लिक किया जो एसएमएस प्रदाता के खाते में थे। मुझे सिस्टम को थोड़ा और जटिल करना था, और समाधान की नकल करना था। अगली विफलता तब हुई जब मोबाइल ऑपरेटरों ने प्रेषक फ़ील्ड की सामग्री के बारे में एसएमएस संदेश भेजने के लिए नए नियमों पर स्विच किया। उसी समय, यह गलती से पता चला कि कार्यालय में दो सहयोगियों को दो अलग-अलग बहुत बड़े बैंकों के ग्राहक बैंकों में प्रवेश करने के लिए एसएमएस नहीं मिला। फिर यह स्पष्ट हो गया - इसे सहन करने के लिए पर्याप्त है, दुनिया को एसएमएस के माध्यम से दो-कारक प्राधिकरण के लिए एक सार्वभौमिक समाधान की आवश्यकता है!

समस्या का बयान

एसएमएस के माध्यम से एक सुपर सार्वभौमिक और विश्वसनीय दो-कारक प्राधिकरण मॉड्यूल बनाने का निर्णय लिया गया, जो किसी भी साइट पर निर्माण करना आसान है, और इसे सदस्यता के साथ बेच दें! लंबे समय तक जियो स्टार्टअप!



पोर्टेबिलिटी और सुरक्षा के लिए, सब कुछ तय किया गया है जिसे एसएमएस भेजने वाले सर्वर और जावास्क्रिप्ट में ले जाया जा सकता है ताकि साइट सर्वर पर जितना संभव हो उतना कम कोड हो। विचारशील प्रतिबिंब के बाद, यह वास्तुकला है।







यह समझा जाता है कि साइट सर्वर दो-कारक प्राधिकरण को जोड़ने से पहले केवल लॉगिन और पासवर्ड की जांच करता है। कनेक्ट करने के बाद, वे एसएमएस के माध्यम से प्राधिकरण सर्वर से लॉगिन, पासवर्ड और अनुमोदन की जांच करेंगे। इस मामले में, एसएमएस के माध्यम से प्राधिकरण सर्वर साइट और उनके फोन के उपयोगकर्ता आईडी को संग्रहीत करेगा, और लॉगिन और पासवर्ड उसके लिए अज्ञात रहेंगे।



साइट से प्राधिकरण सर्वर के लिए अनुरोध उपयोगकर्ता के ब्राउज़र के माध्यम से जाता है। साइट सर्वर एसएमएस की अवधारणा से पूरी तरह से अलग है और प्राधिकरण सर्वर से केवल अनुमोदन प्राप्त करता है। साइट सर्वर एसएमएस द्वारा पुष्टि के लिए अनुरोध के साथ एक कुकी सेट करता है। जावास्क्रिप्ट इस कुकी का पता लगाता है और AJAX के माध्यम से एसएमएस भेजने वाले सर्वर के साथ बातचीत शुरू करता है। सफल एसएमएस सत्यापन के बारे में एक संदेश भी कुकीज़ का उपयोग करके साइट सर्वर को प्रेषित किया जाता है। साइट तब प्राधिकरण बनाती है जब सही लॉगिन, पासवर्ड और कुकी को एसएमएस के माध्यम से प्राधिकरण सर्वर से पुष्टि के साथ भेजा जाता है।

सुरक्षा

साइट और प्राधिकरण सर्वर के बीच अनुरोध उपयोगकर्ता के ब्राउज़र से गुजरते हैं। ताकि वह उन्हें प्रतिस्थापित नहीं कर सके, हम प्रत्येक अनुरोध को एक कुंजी के साथ हस्ताक्षर करेंगे जो दोनों सर्वरों को पता है, लेकिन ब्राउज़र को पता नहीं है। हम सर्वरों के बीच प्रेषित डेटा पैकेट की समाप्ति तिथि भी प्रदान करते हैं। इस तरह के प्रतिबंधों के बाद, ब्राउज़र द्वारा पूरी तरह से समझौता किए जाने के बाद अधिकतम किया जा सकता है, प्राधिकरण सर्वर से लॉगिन, पासवर्ड और अनुमोदन को रोकना है। यह आपको एक साथ दूसरे कंप्यूटर से हमला किए गए साइट में प्रवेश करने की अनुमति देगा। यह माना जाता है कि इस मामले में हमलावर आसान होगा और बस सत्र को उठाएगा!



यदि प्राधिकरण सर्वर से छेड़छाड़ की जाती है, तो हमलावर उपयोगकर्ताओं के फोन नंबरों को पहचान लेगा और प्राधिकरण सर्वर से नकली उत्तर दे सकेगा। हालांकि, साइट पर खातों का उपयोग करने के लिए यह पर्याप्त नहीं है, आपको उन लॉगिन और पासवर्ड को जानना होगा जो प्राधिकरण सर्वर पर नहीं हैं।



ब्राउज़र और प्राधिकरण सर्वर AJAX ओवर https के माध्यम से संवाद करते हैं, और उनके डेटा को इंटरसेप्ट करना समस्याग्रस्त है। यदि साइट पर प्राधिकरण फ़ॉर्म HTTPS के माध्यम से भी काम करता है, तो यहां हमला करना मुश्किल है, अन्यथा दो-कारक प्रमाणीकरण एक साधारण सत्र चोरी से मदद नहीं करेगा।



संक्षेप में, दो-कारक प्राधिकरण के आयोजन के लिए यह दृष्टिकोण, हालांकि यह भ्रामक दिखता है, एक बहुत ही सुरक्षित की छाप बनाता है।

क्या किया जाता है

दरअसल, आप इसे Magiclogin.ru पर देख और डाउनलोड कर सकते हैं।







फिलहाल, दो-कारक प्राधिकरण मॉड्यूल एसएमएस के माध्यम से एक कार्यशील स्थिति में लाया जाता है और कई साइटों पर काम करता है।

• एक PHP वर्ग साइट सर्वर पर स्थापना के लिए लिखा गया है, एक विस्तृत इंस्टॉलेशन निर्देश है।
• "एसएमएस से कोड दर्ज करें" इंटरफ़ेस को एक मॉडल विंडो के रूप में कार्यान्वित किया जाता है जो जावास्क्रिप्ट से उत्पन्न होता है।
• IE 7+, आधुनिक क्रोम, फ़ायरफ़ॉक्स, ओपेरा, सफारी, एंड्रॉइड के लिए समर्थन।
• उपयोगकर्ता फ़ोन नंबर बदल सकता है।
• आप उपयोगकर्ताओं को दो-कारक प्राधिकरण को अस्वीकार करने की अनुमति दे सकते हैं।
• आँकड़े देखने और भुगतान के लिए एक व्यवस्थापक पैनल है।

तत्काल योजना

• मुख्य PHP इंजन के लिए प्लग इन करें।
• मैं C #, जावा, पायथन में साइट सर्वर के लिए एक वर्ग बनाना चाहूंगा।
• मोडल विंडो की रंग योजना का डिज़ाइनर बनाएं।

यदि आपके पास कार्यक्षमता के लिए कोई सुझाव है, तो कृपया टिप्पणियों में सदस्यता समाप्त करें।