قابلیت ۲۲ · حریم خصوصی و کنترل دسترسی
۲۲-۱ «امنیت حساب»
behzistan.org/intro/tools/account-security
- برای چیست: ورود، نگه‌داشتن نشست و مدیریت گذرواژه، کدهای بازیابی و موافقت‌نامه‌های هر کاربر.
- چه کسانی: همهٔ کاربران، هر کس فقط برای حساب خودش.
چگونه کار می‌کند
- ۱. ورود: کاربر با نام کاربری و گذرواژه وارد می‌شود. شمار تلاش‌ها محدود است و تلاش ناموفق در سوابق ثبت می‌شود.
- ۲. نشست: پس از ورود، نشست در کوکی محافظت‌شده‌ای نگه داشته می‌شود که کد صفحه نمی‌تواند آن را بخواند. در محیط اصلی، این کوکی فقط روی HTTPS فرستاده می‌شود.
۳. زبانه‌ها: «امنیت حساب» این زبانه‌ها را دارد:
- برای متخصص: «رمز عبور»، «موافقتنامهها»، «سابقهٔ فعال‌سازی» و «دسترسی همکاران». زبانهٔ آخر در نشست همکار نمایش داده نمی‌شود؛
- برای کاربران دیگر، از جمله مراجع: «تغییر رمز»، «اطلاعات من» و «موافقتنامهها».
- ۴. کدهای بازیابی: ده کدند. با تأیید گذرواژهٔ فعلی ساخته می‌شوند و فقط یک بار نشان داده می‌شوند.
چه کسی چه می‌بیند
- عضو: فقط حساب خودش را می‌بیند. متخصص به گذرواژه یا کدهای بازیابی عضو دسترسی ندارد.
- همکار: نمی‌تواند گذرواژه، کدهای بازیابی، نام کاربری یا ایمیل متخصص را تغییر دهد.
دقت در جزئیات
- نشانهٔ نشست: ۲۵۶ بیت تصادفی است و پایگاه داده فقط شکل درهم‌سازی‌شدهٔ آن را نگه می‌دارد. نشست‌ها لغو می‌شوند و پاک نمی‌شوند.
- گذرواژه: به‌صورت درهم‌سازی‌شده (bcrypt) ذخیره می‌شود.
- پنهان ماندن وجود حساب: برای حساب موجود و ناموجود همان بررسی رمز انجام می‌شود، تا نتوان از روی زمان پاسخ ورود به وجود حساب پی برد.
- کدهای بازیابی: متن ساده‌شان فقط در حافظهٔ همان صفحه است و در مرورگر ذخیره نمی‌شود.
- «خروج از همهٔ دستگاه‌ها»: با وارد کردن گذرواژهٔ فعلی، همهٔ نشست‌های باز همان حساب بسته می‌شوند.
- حوزه:
- بیرون از پرونده · حساب کاربری
- افراد:
- متخصص: سارا
- ابزارها:
- امنیت حساب
- چه کسی چه می‌بیند:
- فقط خود سارا.
- سارا در «امنیت حساب» کدهای بازیابی تازه می‌سازد. گذرواژهٔ فعلی را وارد می‌کند و ده کد یک بار نمایش داده می‌شود. کدها را بیرون از سامانه نگه می‌دارد.
- در «موافقتنامهها» نسخه‌هایی را که پذیرفته است مرور می‌کند.
- پیش از ترک رایانهٔ مشترک دفتر، «خروج از حساب» را می‌زند.