Trust on first use
டிரஸ்ட் ஆன் ஃபர்ஸ்ட் யூஸ் (டி. ஓ. எஃப். யூ), அல்லது டிரஸ்ட் ஆன் ஃபர்ஸ்ட் யூஸ் (டி. யு. எஃப். யூ) என்பது கிளையன்ட் மென்பொருளால் பயன்படுத்தப்படும் ஒரு அங்கீகாரத் திட்டமாகும், இது அறியப்படாத அல்லது இன்னும் நம்பத்தகாத இறுதிப் புள்ளியுடன் நம்பிக்கை உறவை ஏற்படுத்த வேண்டும். ஒரு டோஃபு மாதிரியில், வாடிக்கையாளர் இறுதிப் புள்ளியின் அடையாளங்காட்டியைப் பார்க்க முயற்சிப்பார், பொதுவாக இறுதிப் புள்ளியின் பொது அடையாள விசை அல்லது அந்த அடையாள விசையின் கைரேகை, அதன் உள்ளூர் நம்பிக்கை தரவுத்தளத்தில். இறுதிப் புள்ளிக்கு இன்னும் எந்த அடையாளங்காட்டியும் இல்லை என்றால், கிளையன்ட் மென்பொருள் பயனரை அவர்கள் கூறப்படும் அடையாளங்காட்டி உண்மையானது என்பதை உறுதிப்படுத்தும்படி கேட்கும், அல்லது நெறிமுறையில் கையால் சரிபார்ப்பு சாத்தியமில்லை என்று கருதப்பட்டால், கிளையன்ட் வெறுமனே அடையாளங்காட்டியை நம்புவார் இது வழங்கப்பட்டது மற்றும் அதன் நம்பிக்கை தரவுத்தளத்தில் நம்பிக்கை உறவைப் பதிவு செய்கிறது. அடுத்தடுத்த இணைப்பில் எதிர் இறுதிப் புள்ளியில் இருந்து வேறு அடையாளங்காட்டி பெறப்பட்டால், கிளையன்ட் மென்பொருள் அதை நம்பத்தகாததாகக் கருதும். எஸ்எஸ்எச் நெறிமுறையில், பெரும்பாலான கிளையன்ட் மென்பொருள்கள் (அனைத்தும் இல்லையென்றாலும்), இன்னும் நம்பகமான சேவையகத்துடன் இணைக்கப்பட்டவுடன், சேவையகத்தின் பொது விசை கைரேகை காண்பிக்கும், மேலும் அங்கீகரிக்கப்பட்ட சேனலைப் பயன்படுத்தி அதை உண்மையில் அங்கீகரித்துள்ளதா என்பதைச் சரிபார்க்க பயனரைத் தூண்டும். வாடிக்கையாளர் பின்னர் நம்பிக்கை உறவை அதன் நம்பிக்கை தரவுத்தளத்தில் பதிவு செய்வார். புதிய அடையாளங்காட்டி ஒரு தடுப்பு எச்சரிக்கையை ஏற்படுத்தும், அதற்கு தற்போது சேமிக்கப்பட்ட அடையாளங்காட்டியை கையால் அகற்ற வேண்டும். எக்ஸ்எம்பிபி கிளையன்ட் உரையாடல்கள் பிளைண்ட் டிரஸ்ட் பிஃபோர் வெரிஃபிகேஷனைப் பயன்படுத்துகின்றன, அங்கு பயனர் விருப்பத்தையும் அடையாளங்காட்டியின் கியூஆர்-கோட் பிரதிநிதித்துவத்தை ஸ்கேன் செய்வதன் மூலம் இறுதிப் புள்ளிகளை அங்கீகரிக்கும் திறனையும் வெளிப்படுத்தும் வரை அனைத்து அடையாளங்காட்டிகளும் கண்மூடித்தனமாக நம்பப்படுகின்றன. முதல் அடையாளங்காட்டி ஸ்கேன் செய்யப்பட்ட பிறகு, அங்கீகரிக்கப்பட்ட இறுதிப் புள்ளிகளிலிருந்து வரும் செய்திகளுக்கு வாடிக்கையாளர் ஒரு கவசம் சின்னத்தையும், மற்றவர்களுக்கு சிவப்பு பின்னணியையும் காண்பிக்கும். சிக்னலில் இறுதிப் புள்ளிகள் ஆரம்பத்தில் அடையாளங்காட்டியை கண்மூடித்தனமாக நம்புகின்றன, மேலும் அது மாறும்போது தடுக்காத எச்சரிக்கைகளைக் காட்டுகின்றன. ஒரு க்யூஆர்-குறியீட்டை ஸ்கேன் செய்வதன் மூலம் அல்லது அங்கீகரிக்கப்பட்ட சேனலில் அடையாளங்காட்டியின் தசம பிரதிநிதித்துவத்தை (பாதுகாப்பு எண் என்று அழைக்கப்படுகிறது) பரிமாறிக்கொள்வதன் மூலம் அடையாளங்காட்டியை சரிபார்க்கலாம். அடையாளங்காட்டியை பின்னர் சரிபார்க்கப்பட்டதாக குறிக்கலாம். இது அடையாளங்காட்டி மாற்ற எச்சரிக்கைகளின் தன்மையை தடுக்காதது முதல் தடுப்பது வரை மாற்றுகிறது. எடுத்துக்காட்டாக. ஜாமி மற்றும் ரிச்சோச் அடையாளங்காட்டி என்பது பயனரின் அழைப்பு-கையொப்பமாகும். ஐடி எந்த சேனலிலும் பரிமாறிக்கொள்ளப்படலாம், ஆனால் அடையாளங்காட்டி ஒரு அங்கீகரிக்கப்பட்ட சேனலில் சரிபார்க்கப்படும் வரை, அது திறம்பட கண்மூடித்தனமாக நம்பப்படுகிறது. அடையாளங்காட்டி மாற்றத்திற்கு ஒரு கணக்கு மாற்றமும் தேவைப்படுகிறது, எனவே அதே கணக்கிற்கான எம்ஐடிஎம் தாக்குதலுக்கு எண்ட்பாயிண்டின் தனிப்பட்ட விசையை அணுக வேண்டும். வாட்ஸ்அப்பில் இறுதிப் புள்ளி ஆரம்பத்தில் அடையாளங்காட்டியை கண்மூடித்தனமாக நம்புகிறது, மேலும் அடையாளங்காட்டி மாறும்போது இயல்பாகவே எந்த எச்சரிக்கையும் காட்டப்படாது. முக்கிய கைரேகை (பாதுகாப்புக் குறியீடு என்று அழைக்கப்படுகிறது) அணுகுவதன் மூலம் இறுதிப் புள்ளிகளை அங்கீகரிக்கும் விருப்பத்தையும் திறனையும் பயனர் வெளிப்படுத்தினால், அடையாளம் காட்டுபவர் மாறும்போது தடுக்காத எச்சரிக்கைகளை இயக்க வாடிக்கையாளரைத் தூண்டும். வாட்ஸ்அப் கிளையன்ட் பயனர் அடையாளங்காட்டியை சரிபார்க்கப்பட்டதாக குறிக்க அனுமதிக்காது. டெலிகிராமின் விருப்ப ரகசிய அரட்டைகளில் இறுதிப் புள்ளிகள் அடையாளங்காட்டியை கண்மூடித்தனமாக நம்புகின்றன. மாற்றப்பட்ட அடையாளங்காட்டி எந்த எச்சரிக்கையையும் காட்டுவதற்குப் பதிலாக ஒரு புதிய ரகசிய அரட்டை சாளரத்தை உருவாக்குகிறது. அடையாளங்காட்டியின் காட்சி அல்லது ஹெக்ஸாடெசிமல் பிரதிநிதித்துவத்தை ஒப்பிடுவதன் மூலம் அடையாளங்காட்டிகளை சரிபார்க்கலாம். டெலிகிராம் கிளையன்ட் பயனர் அடையாளங்காட்டியை சரிபார்க்கப்பட்டதாக குறிக்க அனுமதிக்காது. கீபேஸில் வாடிக்கையாளர்கள் ஒருவருக்கொருவர் விசைகளை குறுக்கு-கையொப்பமிடலாம், அதாவது ஒற்றை அடையாளங்காட்டியை நம்புவது பல அடையாளங்காட்டிகளை சரிபார்க்க அனுமதிக்கிறது. கீபேஸ் ஒரு நம்பகமான மூன்றாம் தரப்பாக செயல்படுகிறது, இது ஒரு கீபேஸ் கணக்கிற்கும் அடையாளங்காட்டியின் வரலாற்றைக் கொண்ட கணக்கின் கையொப்ப சங்கிலிக்கும் இடையிலான இணைப்பை சரிபார்க்கிறது. கீபேஸில் பயன்படுத்தப்படும் அடையாளங்காட்டி என்பது பயனரின் கையொப்ப சங்கிலியின் வேரின் ஹாஷ் அல்லது அதனுடன் இணைக்கப்பட்ட கீபேஸ் கணக்கு பெயர் ஆகும். அங்கீகரிக்கப்பட்ட சேனலில் கையொப்ப சங்கிலியின் ரூட் ஹாஷின் (அல்லது கீபேஸ் கணக்கு) நம்பகத்தன்மையை பயனர் சரிபார்க்கும் வரை, கணக்கும் அதனுடன் தொடர்புடைய அடையாளங்காட்டிகளும் அடிப்படையில் கண்மூடித்தனமாக நம்பப்படுகின்றன, மேலும் பயனர் எம்ஐடிஎம் தாக்குதலுக்கு ஆளாக நேரிடும். மாதிரி பலம் மற்றும் பலவீனங்கள் எந்தவொரு டோஃபு-பாணி மாதிரியின் மிகப்பெரிய பலம் என்னவென்றால், ஒரு மனிதர் ஆரம்பத்தில் ஒவ்வொரு தொடர்பையும் சரிபார்க்க வேண்டும். இந்த மாதிரியின் பொதுவான பயன்பாடு கணினிகளுக்கு இடையில் எஸ். எஸ். எச்-ஆர். பி. சி 'போட்' பயனர்களைப் பயன்படுத்துவதாகும், இதன் மூலம் பொது விசைகள் மையப்படுத்தப்பட்ட புரவலன்களிலிருந்து தானியங்கி அணுகலுக்காக கணினிகளின் தொகுப்புக்கு விநியோகிக்கப்படுகின்றன. இந்த பயன்பாட்டின் டோஃபு அம்சம் ஒரு sysadmin (அல்லது பிற நம்பகமான பயனர்) முதல் இணைப்பின் போது தொலைநிலை சேவையகத்தின் அடையாளத்தை சரிபார்க்க கட்டாயப்படுத்துகிறது. சிஏ சமரசத்தால் பாதிக்கப்படக்கூடிய தனிப்பட்ட சான்றிதழைப் பெறுவதற்கான சிக்கலான செயல்முறை இல்லாமல் எண்ட்-டு-எண்ட் என்க்ரிப்டட் தகவல்தொடர்புக்கு டோஃபு மாதிரி அங்கீகரிக்கப்பட்ட குறியாக்கத்தை அனுமதிக்கிறது. வெப் ஆஃப் டிரஸ்டுடன் ஒப்பிடும்போது, டோஃபுவில் குறைவான பராமரிப்பு மேல்நிலை உள்ளது. கையால் சரிபார்ப்பு தேவைப்படும் டோஃபுவின் மிகப்பெரிய பலவீனம் பெரிய குழுக்கள் அல்லது கணினி நெட்வொர்க்குகளுக்கு அளவிட இயலாமை ஆகும். ஒவ்வொரு இறுதிப் புள்ளிக்கும் அடையாளங்காட்டிகளைக் கண்காணிக்கும் பராமரிப்பு மேல்நிலை பயனர்களின் திறன்களைத் தாண்டி விரைவாக அளவிட முடியும். அடையாளங்காட்டியின் நம்பகத்தன்மையை எளிதில் சரிபார்க்க முடியாத சூழலில் (எடுத்துக்காட்டாக, பணியிடத்தின் அல்லது கல்வி வசதியின் தகவல் தொழில்நுட்ப ஊழியர்களை அணுகுவது கடினமாக இருக்கலாம்), பயனர்கள் எதிர் இறுதிப் புள்ளியின் அடையாளங்காட்டியை கண்மூடித்தனமாக நம்புகிறார்கள். தாக்குதல் நடத்தியவர்களை தற்செயலாக அங்கீகரிக்கப்பட்ட அடையாளங்காட்டிகளும் நடுத்தர மனித தாக்குதல் தொடர்ந்தால் அதைக் கண்டறிவது கடினமாக இருக்கலாம். ஒரு புதிய இறுதிப் புள்ளி எப்போதும் ஒரு புதிய அடையாளங்காட்டியை உள்ளடக்கியது என்பதால், சாத்தியமான தாக்குதல் பற்றிய எச்சரிக்கை எதுவும் காட்டப்படாது. அடையாளங்காட்டி பயனருக்கு வழங்கப்பட்டதா இல்லையா என்பதைப் பொருட்படுத்தாமல், ஆரம்ப அடையாளங்காட்டியின் நம்பகத்தன்மையை சரிபார்க்காமல் தொடர்வது பாதுகாப்பானது என்ற தவறான கருத்தை இது பயனர்களிடையே ஏற்படுத்தியுள்ளது. எண்ட்-டு-எண்ட் என்க்ரிப்ஷன் இல்லாத குறைவான பாதுகாப்பான பயன்பாடுகளுக்கு பயனர்கள் திரும்புவதைத் தடுக்க எச்சரிக்கை சோர்வு பல செய்தியிடல் பயன்பாடுகளை தடுப்பு எச்சரிக்கைகளை அகற்றத் தள்ளியுள்ளது. பார்வைக்கு வெளியே உள்ள அடையாளங்காட்டி சரிபார்ப்பு வழிமுறைகள் பயனர்களால் பாதுகாப்பான அங்கீகார நடைமுறைகள் கண்டறியப்பட்டு பின்பற்றப்படுவதற்கான வாய்ப்பைக் குறைக்கின்றன. சிஎம்யு ஆராய்ச்சியாளர்களான டான் வெண்ட்லேண்ட், டேவிட் ஆண்டர்சன் மற்றும் அட்ரியன் பெர்ரிக் ஆகியோர் 2008 ஆம் ஆண்டில் யூசெனிக்ஸ் வருடாந்திர தொழில்நுட்ப மாநாட்டில் வெளியிடப்பட்ட "பெர்ஸ்பெக்டிவ்ஸ்ஃ இம்ப்ரூவிங் எஸ்எஸ்எச்-ஸ்டைல் ஹோஸ்ட் நம்பகத்தன்மை வித் மல்டி-பாத் ப்ரோபிங்" என்ற ஆராய்ச்சிக் கட்டுரையில் டோஃபு அல்லது டியுஎஃப்யு என்ற வார்த்தையின் முதல் முறையான பயன்பாடு அறியப்பட்டது. மோக்ஸி மார்லின்ஸ்பைக், "ஒரு திறந்த கடிதம், நடவடிக்கைக்கு ஒரு அழைப்பு" என்ற குழு விவாதத்தின் போது, டான் கமின்ஸ்கி கூறிய கருத்துக்களைக் குறிப்பிட்டு, டிஇஎஃப் கான் 18 நடவடிக்கைகளின் முன்னோக்குகள் மற்றும் டோஃபு என்ற வார்த்தையை குறிப்பிட்டார். எஸ்எஸ்எல்/டிஎல்எஸ் பி. கே. ஐ மாதிரியை விட எஸ்எஸ்எச் பப்ளிக் கீ இன்ஃப்ராஸ்ட்ரக்சர் (பி. கே. ஐ) மாதிரியின் மேன்மையைக் குறிக்கும் ஒரு பார்வையாளர்களின் பரிந்துரை எழுப்பப்பட்டது-இதன் மூலம் மோக்ஸி பதிலளித்தார்ஃ இந்த விஷயத்தில் தொடர்புடைய வேலை சர்வர் சான்றிதழ் 'கைரேகை' ஹாஷ்களின் காட்சி பிரதிநிதித்துவங்களை உருவாக்குவதற்கான வேலை ASCII கலை வடிவத்தில் ஓபன்எஸ்எஸ்ஹெச் இல் செயல்படுத்தப்பட்டுள்ளது. எழுத்துக்கள் மற்றும் எண்களின் நீண்ட சரத்திற்கு பதிலாக, பயனர்கள் ஒரு 'வரைகலை' படத்தை பார்வைக்கு அடையாளம் காண்பதே இதன் நோக்கம். கார்னகி மெலன் பல்கலைக்கழக கணினி அறிவியல் துறையில் அட்ரியன் பெர்ரிக் மற்றும் டான் சாங் ஆகியோரால் அசல் ஆராய்ச்சிக் கட்டுரை எழுதப்பட்டது. 'TUFU' சுருக்கத்தின் தோற்றுவிப்பாளர் 'பெர்ச்பெக்டிவ்ஸ் ஃபயர்பாக்ஸ் பிளக் இன்' இன் உத்வேகத்தை விவரிக்கிறார், இது உங்கள் உலாவி ஒரு HTTPS வலைத்தளத்தை இணைக்கும் போதெல்லாம் நெட்வொர்க் நோட்டரிகளைத் தொடர்புகொள்வதன் மூலம் எஸ்எஸ்எல்/டிஎல்எஸ் பி. கே. ஐ மாதிரியை வலுப்படுத்த வடிவமைக்கப்பட்டுள்ளது. மேலும் காண்க தகவல் தொழில்நுட்ப சுருக்கெழுத்துக்களின் பட்டியல் மேன்-இன்-தி-மிடில் தாக்குதல் குறிப்புகள் வெளிப்புற இணைப்புகள் "DEF CON 18 அட்டவணை, திறந்த கடிதம்-நடவடிக்கைக்கு அழைப்பு" ஃபயர்பாக்ஸ் நீட்டிப்பு உங்கள் உலாவி ஒரு HTTPS வலைத்தளத்தை ஹாஷ் காட்சிப்படுத்தலை ஓபன்எஸ்எஸ்ஹெச் கணினி பாதுகாப்பில் இணைக்கும் போதெல்லாம் நெட்வொர்க் நோட்டரிகளைத் தொடர்புகொள்கிறது.