कोपेनहेगन बुक: वेब एप्लिकेशन में authentication लागू करने के लिए सामान्य दिशानिर्देश

• कोपेनहेगन बुक

  • कोपेनहेगन बुक एक मुफ़्त open source प्रोजेक्ट है जो वेब एप्लिकेशन में authentication लागू करने के लिए सामान्य दिशानिर्देश प्रदान करता है
  • यह community द्वारा maintain किया जाता है, और कभी-कभी व्यक्तिपरक या अधूरा हो सकता है, लेकिन इसका लक्ष्य online resources में मौजूद खालीपन को भरना है
  • इसे OWASP Cheat Sheet Series के साथ उपयोग करने की सिफारिश की जाती है

• सर्वर-साइड token

  • यह बताता है कि सुरक्षा बढ़ाने के लिए server side पर token को कैसे manage किया जाए

• session

  • यह बताता है कि user session management के ज़रिए लगातार authentication state को कैसे बनाए रखा जाए

• password authentication

  • यह सुरक्षित password authentication तरीकों से संबंधित दिशानिर्देश प्रदान करता है

• email authentication

  • यह email के माध्यम से user authentication प्रक्रिया को समझाता है

• password reset

  • यह बताता है कि password reset फीचर को कैसे लागू किया जाए

• random value generation

  • यह बताता है कि सुरक्षा के लिए आवश्यक random values कैसे generate की जाएं

• OAuth

  • यह बताता है कि OAuth protocol का उपयोग करके authentication को कैसे लागू किया जाए

• multi-factor authentication (MFA)

  • यह बताता है कि MFA के ज़रिए सुरक्षा को कैसे मजबूत किया जाए

• WebAuthn

  • यह बताता है कि WebAuthn का उपयोग करके web authentication को कैसे लागू किया जाए

• cross-site request forgery (CSRF)

  • यह बताता है कि CSRF हमलों को कैसे रोका जाए

• open redirect

  • यह बताता है कि open redirect vulnerability को कैसे रोका जाए

• encryption

  • यह बताता है कि encryption तकनीकों का उपयोग करके data को कैसे सुरक्षित किया जाए

• ECDSA

  • यह बताता है कि ECDSA algorithm का उपयोग करके digital signature को कैसे लागू किया जाए

• links

  • यह GitHub repository, Twitter, OWASP Cheat Sheet Series, और donation link प्रदान करता है

GN⁺ की संक्षिप्त टिप्पणी

• कोपेनहेगन बुक वेब एप्लिकेशन authentication implementation पर व्यापक दिशानिर्देश प्रदान करती है, इसलिए यह developers के लिए एक उपयोगी resource है
• यह authentication के विभिन्न तरीकों और security hardening techniques को कवर करती है, जिससे security की समझ बढ़ाने में मदद मिलती है
• OWASP Cheat Sheet Series के साथ उपयोग करने पर यह और अधिक प्रभावी होती है और security vulnerabilities को रोकने में योगदान दे सकती है
• समान विशेषताओं वाले प्रोजेक्ट्स में OWASP की विभिन्न guidelines और NIST की security recommendations शामिल हैं

[GN⁺]

Hacker News राय

• Lucia लाइब्रेरी के लेखक को अब लगता है कि Lucia authentication implementation के लिए उपयुक्त नहीं है, इसलिए उन्होंने इसके विकल्प के रूप में एक guide series प्रकाशित की है

  • शुरुआती guide preview दिया गया है; पढ़ने में अच्छा लगा और यह The Copenhagen Book के साथ अच्छी तरह मेल खाता है

• security resources का 90% non-experts के लिए समझना मुश्किल होता है, लेकिन यह guide स्पष्ट, संक्षिप्त और practically usable है

  • elliptic curves वाला हिस्सा अब भी समझना कठिन है

• बहुत-सी security advice जटिल और कभी-कभी बेतुकी लगती है, लेकिन यह guide ताज़गी भरी और आसानी से समझ आने वाली सलाह देती है

  • अच्छा होगा अगर JWT पर एक section भी जोड़ा जाए

• अच्छा होगा अगर यह स्पष्ट किया जाए कि "auth" से authentication (authn) मतलब है या authorization (authz)

  • लगता है इसका मतलब authentication है

• यह बात प्रभावशाली लगी कि UUIDv4 में बहुत entropy होती है, लेकिन यह cryptographically secure न भी हो सकता है

  • ज़्यादातर applications के लिए यह समस्या नहीं है, लेकिन इस बात की जानकारी होना ज़रूरी है

• password कम से कम 8 characters का होना चाहिए, और zxcvbn जैसी लाइब्रेरी का उपयोग करके weak passwords की जाँच करनी चाहिए

  • high-security sites के लिए यह अच्छा है, लेकिन one-off accounts के लिए लंबे password बनाना झंझट है

• क्या किसी को पता है कि इसका नाम "Copenhagen Book" क्यों रखा गया है?

• authentication को एक बार implement कर लो, फिर उसे हर जगह इस्तेमाल किया जा सकता है

• अच्छा होता अगर websites ऐसा option देतीं कि "logout करने तक session expire न हो"

  • GitHub का session expiry और 2FA असुविधाजनक हैं, इसलिए मैं Gitea पर चला गया
  • अगर security model लचीला न हो, तो ग्राहक खो सकते हैं

• शानदार guide है, धन्यवाद