Bir Doğrulayıcının Aldığı Şey, Bir İhraççının İmzaladığı Şey Değildir

Bize bağlı olmayan hiçbir doğrulayıcı taraf, üretimde bizim bir kimlik bilgimize karşı doğrulayıcı tarafını çalıştırmadı.

Tek bir şeymiş gibi konuşulan iki nesne

Kimlik bilgisi, bir ihraççının imzalayıp bir kişiye verdiği şeydir. Bir cüzdanda durur ve dışarıdan kimse onu o biçimde görmez.

Sunum, taşıyıcının tek bir doğrulayıcı için, tek bir istek için, tek bir anda kurduğu şeydir. Kimlik bilgisinin bir kısmını, geri kalanının aynı ihraççı tarafından imzalandığının ispatını ve sunanın kimlik bilgisini denetlediğine dair kanıtı içerir.

Tartışmaların çoğu kimlik bilgisi hakkındadır. Bir doğrulayıcının her güvenlik sorusu sunum hakkındadır.

Bir doğrulayıcı gerçekte neyi kontrol ediyor

Dört şey, ve bunlar birbirinden bağımsız olarak çöker.

Bunu güvenilen bir ihraççı mı imzaladı? İhraççının anahtarına karşı bir imza kontrolü.

İhraççıya hâlâ güveniliyor mu? Ayrı cevabı olan ayrı bir soru, çünkü listeden çıkarılmış bir ihraççıdan gelen geçerli bir imza yine de geçerli bir imzadır.

Sunan kişi, kimlik bilgisinin verildiği kişi mi? Bu taşıyıcı bağlamadır ve atlanan budur. O olmadan, yakalanmış bir sunum onu yakalayan tarafından yeniden oynatılabilir.

Ve bu sunum taze mi? Tek bir doğrulayıcı için tek bir anda yapılmış bir sunum başka birinde yeniden kullanılabilir olmamalıdır. Bir meydan okumanın var olma sebebi budur.

Birincisini kontrol edip buna doğrulama diyen bir ürün, fazladan adımları olan bir hamiline jeton inşa etmiştir.

Bunu yanlış yapmaktan doğan çökme

Bir sunum yeniden oynatılabiliyorsa, bir tanesini araya giren her şey, kimlik bilgisinin gücünü o geçerli kaldığı sürece elinde tutar.

Kimlik bilgisi hâlâ kusursuz biçimde imzalıdır. İhraççıya hâlâ güvenilmektedir. Kriptografide hiçbir şey bozulmamıştır ve sistem yine de ele geçirilmiştir, çünkü bunu yakalayacak kontrol, kimlik bilgisi hakkında değil sunum hakkındaydı.

Ayrımın herhangi bir satıcıyla kılı kırk yarmaya değer olmasının sebebi budur.

Doğrulama konusunda bir satıcıya sorulacaklar

"Tam olarak neyi kontrol ediyorsunuz, tek tek sayın?" İmza, ihraççı durumu, taşıyıcı bağlama, tazelik. Dörtten azını sayan bir satıcının bir açığı vardır ve genellikle üçüncüsüdür.

"Yakalanmış bir sunumu yeniden oynatabilir miyim?" Yapamayacağınızı göstermelerini isteyin. Bu bir öğleden sonrada test edilebilir ve bir ürün belgesinden fazlasını çözer.

"İhraççı durumu görünümünüz ne kadar bayat olabilir?" Bir sayı vardır ve onu bilerek seçmemiş bir satıcı kazara seçmiştir.

"Doğrulayıcınızı sizden başka kim çalıştırdı?" Bizde dürüst cevap hiç kimsedir ve bu, uçtan uca gösterimimizin ne kanıtladığını sınırlar.

Bu karar için ne anlama geliyor

Bir kimlik bilgisi sisteminin bağımsız taraflar arasında çalıştığına dair kanıta ihtiyacınız varsa, bizimkinin o kanıtı henüz yok ve iki ucun aynı şirket olduğu bir gösterim onun yerine geçmez.