توليد رموز احتياطية للمصادقة الثنائية ببذرة

عند إدخال العدد والبذرة السرية نفسيهما، تحصلون دائماً على المجموعة المرتبة نفسها. تفيد قابلية إعادة الإنتاج هذه في التجهيز المنضبط، وبيانات الاختبار، وإجراءات الاسترداد الموثقة، والأنظمة التي تحتاج إلى إعادة إنشاء الرموز من دون تخزين القائمة الناتجة. تتم العملية محلياً بالكامل، فلا تستخدم الشبكة أو الساعة أو مصدراً عشوائياً أو بيانات الحساب أو حالة خفية. يجب حماية البذرة وكل رمز ناتج باعتبارها بيانات مصادقة حساسة.

اختيار العدد وحماية البذرة

ابدؤوا بتحديد عدد رموز الاسترداد التي ينبغي للحساب أو التطبيق إصدارها. يجب أن يكون العدد صحيحاً من واحد إلى ألف؛ ويُرفض أي طلب بقيمة أقل من واحد بدلاً من إنشاء مجموعة فارغة من دون تنبيه. بعد ذلك، أدخلوا بذرة غير فارغة. البذرة هي المصدر الكامل لقابلية إعادة الإنتاج، ولذلك ينتج عن القيم المتطابقة للبذرة والعدد رموز متطابقة بالترتيب نفسه. استخدموا سراً طويلاً وعالي الإنتروبيا، تم إنشاؤه وتخزينه وفق عملية إدارة الأسرار المعتمدة في مؤسستكم. لا يصلح اسم شخص أو عنوان بريد إلكتروني أو تسمية مشروع أو عبارة قصيرة سهلة التذكر كبذرة في بيئة الإنتاج، لأن شخصاً آخر قد يخمنها ويعيد إنشاء الرموز. لا تعيدوا استخدام بذرة واحدة بين مستخدمين أو بيئات أو خدمات مختلفة. يمنع فصل النطاقات داخل الخوارزمية التداخل العرضي مع اشتقاقات أخرى، لكنه لا يعالج ضعف البذرة أو انكشافها. إذا احتجتم إلى بيانات ثابتة للاختبارات المؤتمتة، فميّزوا بذور الاختبار واعزلوها بوضوح كي لا يقبل نظام مصادقة إنتاجي مخرجاتها أبداً. يقتصر طول البذرة على 4,096 حرفاً حتى يبقى التنفيذ محدوداً ويمكن توقعه.

فهم عملية التوليد الحتمية

يُشتق كل موضع في المخرجات بصورة مستقلة باستخدام SHA-256 من وسم ذي إصدار، وطول البذرة الدقيق، ونص البذرة، والموضع الذي يبدأ من الصفر، وعداد إعادة المحاولة. يجعل تضمين طول البذرة تأطير المدخلات خالياً من الالتباس، بينما يفصل الوسم ذو الإصدار هذا الغرض عن الحسابات الأخرى المعتمدة على البذور. يقرأ المولّد قيماً بلا إشارة من الملخص، ثم يطبق أخذ العينات بالرفض قبل اختزالها إلى ثماني خانات عشرية. تمنع هذه الخطوة الانحياز الطفيف في التوزيع الذي قد يسببه التحويل المباشر بواسطة باقي القسمة. يُنسق كل رقم مقبول في مجموعتين من أربع خانات تفصل بينهما شرطة، مع الاحتفاظ بالأصفار البادئة. تتعقب مجموعة القيم التي سبق إصدارها؛ وإذا وقع تصادم، يتقدم عداد المحاولة بصورة حتمية حتى يعثر على رمز جديد. لذلك تحتوي النتيجة على العدد المطلوب من الرموز الفريدة، كما تعيد العملية ذاتها إنتاج قرارات التصادم والقائمة النهائية معاً. لا يمكن لأي خدمة شبكة أو ساعة نظام أو مولّد عشوائي في بيئة التشغيل أو ذاكرة تخزين مؤقت دائمة أو حالة وحدة قابلة للتغيير أن يؤثر في الإجابة. ويؤدي تغيير حرف واحد فقط من البذرة عادةً إلى تغيير القائمة بأكملها.

نشر الرموز وتخزينها وإبطالها بأمان

لا يمثل التوليد سوى جزء من سير عمل الرموز الاحتياطية. يجب أن تخزن خدمة المصادقة لديكم أداة تحقق معتمدة لكل رمز، وأن تضع علامة الاستهلاك على الرمز بعد أول استخدام ناجح، وأن تحد من معدل المحاولات، وأن توفر إجراءً صريحاً للإبطال أو إعادة التوليد. لا تسجلوا البذرة أو الرموز بصورتها الصريحة في التحليلات أو سجلات التتبع أو تذاكر الدعم أو مخرجات البناء أو المحادثات المشتركة. سلّموا الرموز إلى المستخدم الذي تم التحقق من هويته عبر جلسة محمية، وانصحوه بحفظها من دون اتصال في مدير كلمات مرور أو مكان آمن آخر. تسهّل الحتمية التعافي من الكوارث والتجهيز المنضبط، لكنها تعني أيضاً أن كل من يحصل على البذرة يستطيع إعادة إنشاء جميع الرموز. انتقلوا إلى بذرة جديدة ومستقلة عند الاشتباه في انكشافها، أو عندما يطلب المستخدم إعادة التوليد، أو عندما تفرض السياسة إبطال المجموعة القديمة. لا تطلبوا عدداً مختلفاً فقط مع البذرة القديمة، لأن المواضع المشتركة بين الطلبين ستبقى متطابقة. يسهل تجميع الخانات نسخ الرموز، إلا أن لكل رمز مئة مليون قيمة ممكنة فقط، ولذلك تظل وسائل الحماية من المحاولات عبر الإنترنت ضرورية. تبلغ تكلفة طلب API مقدار $0.002، ويستخدم مسار المتصفح الحساب النقي نفسه.