الخلاصة

  • يثبت استرداد الحساب أن المطالب يستطيع المصادقة بصفته صاحب الحساب من جديد، لكنه لا يثبت استمرار كل دور ارتبط بالحساب سابقاً.
  • ينبغي لـ NRS فصل استرداد الهوية عن إنهاء الجلسات القديمة وعن إعادة اعتماد الأدوار الحساسة، مع ربط القرارات بإيصال تدقيق واحد.

نجاح تقني قد يعكس قراراً مؤسسياً

ليست الحالة الأخطر دائماً محاولة استيلاء فاشلة. قد تصل الرسالة إلى الشخص الصحيح، ويختار كلمة مرور جديدة، ثم يدخل بلا مشكلة. لكن تفويضه كممثل ربما انتهى بعد آخر دخول، أو غادر المؤسسة، أو سُحبت منه مهمة الإشراف على المنتدى. الهوية صحيحة، أما السلطة فقد أصبحت قديمة.

تعرض NRS صفحة دخول عامة تستخدم اسم المستخدم أو البريد وكلمة المرور، مع خيار تذكر الحساب ومسار لفقدان كلمة المرور. وتقول صفحة الاسترداد إن التعليمات ستصل عبر البريد. يثبت ذلك وجود سطح للاسترداد، لكنه لا يكشف مدة الرمز أو إبطال الجلسات أو طريقة مطابقة الأدوار أو سجل التدقيق الداخلي.

كما تصف صفحات NRS وصول الأعضاء إلى النقاشات والفعاليات، وتربط حضور الاجتماع الأسبوعي بالأعضاء المعتمدين. أي إن الحالة الحالية للعضوية أو الاعتماد قد تؤثر في الوصول. هذا المقال يحدد واجباً تصميمياً ولا يدعي وقوع حادثة في NRS.

الهوية والجلسة والدور سجلات مختلفة

تجيب المصادقة عن سؤال: من يحق له الدخول بهذا الحساب؟ أما التفويض فيجيب: ماذا يجوز لهذا الحساب أن يفعل الآن؟ تفصل OWASP بينهما، وتوصي بأقل قدر من الامتياز، والرفض الافتراضي، وفحص الإذن في كل طلب. نجاح الدخول لا يمنح جميع الصلاحيات.

الجلسة كيان ثالث. ملف الارتباط أو رمز التطبيق أو الجهاز المتذكر يواصل ثقة نتجت عن مصادقة سابقة. تغيير كلمة المرور لا يثبت انتهاء هذه الثقة. توصي OWASP بجلسة محدودة لإعادة التعيين، ثم دخول عادي، وإشعار المستخدم، وإبطال الجلسات القائمة. ويتعامل NIST كذلك مع الاسترداد وربط وسيلة مصادقة جديدة والإشعار وإنهاء الجلسة كأحداث منفصلة.

ينتج عن ذلك حد واضح: خدمة إرسال رابط الاسترداد لا تملك تعيين ممثل أو مشرف أو مسؤول. يمكنها إعادة الحساب الأساسي، بينما يأتي الدور الحالي من الجهة المسؤولة عن العضوية أو التفويض أو المنتدى.

مسار استرداد لا يعود إلى الماضي

تبدأ العملية بتسجيل وقت الاسترداد وقناته ومعرف محدود للحساب من دون حفظ السر. يكون الرمز أحادي الاستخدام وقصير العمر، ولا ينشئ إلا حالة ضيقة تسمح باختيار وسيلة مصادقة جديدة.

بعد ذلك تُبطل جلسات المتصفح والهاتف ورموز الواجهة والأجهزة المتذكرة، أو تُطابق واحدة واحدة بقرار صريح. يجب ألا تبقى الثقة المرتبطة ببيانات اعتماد جرى استبدالها. ينشئ الدخول التالي جلسة جديدة.

ثم يقرأ النظام صورة الأدوار الحالية وتاريخ الإلغاء. يجب أن يحدد السجل المسؤول ما إذا كان الحساب اليوم عضواً أو جهة اتصال لمؤسسة أو ممثلاً معتمداً أو مشرفاً أو مسؤولاً. لا يصلح آخر رمز صادر ولا ملف شخصي قديم مصدراً لإعادة التفويض.

عند غياب سجل الأدوار أو تعارضه، يكون القرار هو الرفض الافتراضي. يمكن عودة الوصول الأساسي، فيما تبقى الصلاحيات الحساسة محجوبة حتى يبت صاحب الدور. بذلك لا تلغي مشكلة تقنية آخر قرار حوكمة مقصود.

تحتاج إعادة الدور الحساس إلى تحقق معزز. قد تكفي السيطرة على البريد لبدء الاسترداد، لكنها لا تكفي لإعادة سلطة تمارس باسم مؤسسة. يؤكد مالك الدور العلاقة الحالية بواسطة سجل العضوية أو تفويض تنظيمي أو دليل مناسب آخر.

تتلقى الجلسة الجديدة الأدوار الحالية فقط. ثم يصل إلى صاحب الحساب إشعار يبين وقت الاسترداد والجلسات المنتهية والأدوار التي أعيدت أو حُجبت أو أحيلت للمراجعة، مع طريق للاعتراض لا يكشف السر.

إيصال يفسر عودة الصلاحية

يربط الإيصال الداخلي حدث الاسترداد بصورة الأدوار، والإلغاءات التي تمت مراجعتها، ودليل التحقق المعزز، ونتيجة إبطال الجلسات، والمجموعة النهائية للصلاحيات. وإذا وُجد استثناء، يسجل صاحب القرار. ليس هذا ملفاً عاماً، بل الحد الأدنى من الدليل للإجابة لاحقاً عن سبب عودة سلطة محددة.

يسمح هذا النموذج للعضو الشرعي باستعادة الحساب بسرعة، ويُبقي الدور الملغى ملغى، ويمكّن الإدارة من التمييز بين خطأ في الاسترداد وقرار صريح من مالك الدور.

حدود الأدلة

لا تكشف الصفحات العامة مزود الهوية لدى NRS أو بنية الجلسات أو قاعدة الأدوار أو مدة الرموز أو الضوابط الداخلية. كما لا تثبت أن الصلاحيات القديمة تعود حالياً. الممثل والمشرف مثالان لدور حساس في سيناريو الضبط، وليسا وصفاً لكل حساب.

النتيجة الأضيق هي التي تدعمها المصادر: توجد أسطح عامة للدخول والاسترداد ووصول الأعضاء، وتفصل الإرشادات الأمنية الحالية بين المصادقة والجلسة والتفويض. يجب أن يمنع التنفيذ المسؤول الاسترداد من إلغاء قرار صلاحية أحدث.

المصادر