Modelli di minaccia
Perché i link Collogue non sono monouso
Perché un link cifrato protetto da password è diverso da un segreto monouso o con scadenza.
Pubblicato: 5 maggio 2026
Limiti dell’implementazione attuale
Il client attuale cifra il testo nel browser e inserisce il contenuto cifrato nell’URL. La password condivisa separatamente non fa parte del link. Non esiste un server applicativo che memorizzi, recuperi, elimini o consumi i messaggi una sola volta.
Ulteriore contesto
Un link che funziona una sola volta può ridurre l’esposizione, ma la persona che lo apre per prima vince comunque.
Questa frase riassume sia il vantaggio sia il limite.
Immagina di inviare una password temporanea tramite e-mail.
La maggior parte di queste copie non causerà mai un incidente. Il problema è che esistono molto tempo dopo la fine del loro scopo.
È una riduzione reale dell’esposizione persistente.
- quanto è probabile l’accesso;
- per quanto tempo l’accesso resta possibile.
Un segreto disponibile per dieci minuti non è automaticamente sicuro. Di solito è esposto per meno tempo dello stesso segreto lasciato per tre anni in una casella di posta.
Questa è riduzione del rischio, non invulnerabilità.
Il fallimento è comunque utile. Bob e Alice ora sanno di non dover fidarsi ciecamente della credenziale.
Per un token di accesso o una password, la risposta sicura consiste di solito nel revocarlo o ruotarlo e crearne uno nuovo.
La normale e-mail in testo chiaro raramente offre questo avvertimento. Continua a mostrare il segreto indipendentemente da quante persone lo abbiano letto.
Se il link funziona come una capacità di tipo bearer, Collogue può sapere che è stato presentato l’URL corretto. Potrebbe non sapere che la persona è Bob.
- verifica l’indirizzo di destinazione;
- conferma il destinatario tramite un canale stabilito;
- evita di includere contesto non necessario con il link;
- usa una credenziale temporanea e limitata;
- richiedi il cambio della password o la rotazione del token;
- abilita la MFA sull’account di destinazione.
Non trasformare il link privato nell’unica prova d’identità per un’azione con privilegi elevati.
A volte le persone inviano metà password tramite e-mail e l’altra metà tramite SMS.
Questo può costringere un attaccante a compromettere due canali, ma crea anche complessità, errori di trascrizione e due fragment persistenti. Il suo valore dipende dall’effettiva indipendenza dei canali e da come vengono generate le metà.
Un altro approccio consiste nell’inviare il link Collogue tramite un canale e confermare il destinatario o fornire contesto non segreto tramite un altro.
Nessuno dei due metodi crea automaticamente l’autenticazione a più fattori. Sono scelte di consegna, non prove universali.
- una password temporanea;
- un token API di breve durata;
- un codice di recupero;
- una credenziale Wi-Fi;
- un accesso occasionale di un cliente;
- un valore di configurazione privato;
- una breve nota sensibile.
- condivisione di credenziali di team a lungo termine;
- accesso ricorrente;
- dati altamente regolamentati che richiedono procedure di audit;
- file di grandi dimensioni;
- segreti che non possono essere ruotati;
- casi che richiedono una forte verifica dell’identità del destinatario.
Un password manager, secrets manager, sistema di accesso privilegiato o strumento aziendale approvato per il trasferimento può essere migliore in questi casi.
Può ridurre le copie leggibili persistenti e la durata attiva. La sicurezza dipende comunque dalla consegna del link, dalla crittografia, dalla verifica del destinatario, dalla sicurezza degli endpoint e dal ciclo di vita del segreto.
No. Dimostra solo lo stato dell’applicazione che registra. Il primo lettore potrebbe aver copiato il contenuto e il servizio potrebbe non sapere chi fosse.
Preferisci credenziali temporanee, limitate e revocabili. Un canale di consegna più sicuro non corregge un segreto permanente o con privilegi eccessivi.
Collogue può ridurre l’esposizione persistente nelle e-mail e nelle chat, ma non può proteggere un dispositivo compromesso né controllare cosa fa un destinatario dopo la lettura.