程序员征服安全：分享与学习系列-身份验证

在本博客中，我们将介绍运营网站或允许员工远程访问计算机资源的组织所面临的最常见问题之一（几乎是每个人）。是的，你可能猜到我们将要谈论身份验证。

如果黑客可以简单地以管理员身份使用有效的用户名和密码登录系统，则无需部署高级技术来对抗网络防御。系统只需打开门然后让攻击者进去即可。更糟糕的是，如果攻击者没有做任何过于古怪的事情，几乎无法检测到他们的存在，因为大多数防御系统只会将他们视为有效的用户或管理员来完成工作。

身份验证漏洞的类别相当大，但是我们将介绍最常见的问题，这些问题往往会意外地融入用户登录过程。通过填补这些漏洞，您可以消除组织中的绝大多数身份验证问题。

在本集中，我们将学习：

• 如何利用一些常见的身份验证漏洞
• 为什么它们如此危险
• 可以使用哪些策略和技术来消除身份验证漏洞。

攻击者如何利用身份验证漏洞？

有不少身份验证漏洞可能会渗透到身份验证系统中，因此黑客利用每个漏洞的方式略有不同。首先，让我们来看看最常见的漏洞，然后举例说明如何利用其中的几个漏洞。

最常见的身份验证漏洞包括：

• 密码政策薄弱或不足，
• 允许无限制的登录尝试，
• 向攻击者提供登录失败的信息，
• 通过不安全的渠道发送证书，
• 对密码进行弱哈希处理，
• 而且密码恢复过程不安全。

较弱的密码策略可能是最常见的漏洞。如果允许用户不受限制地创建密码，那么就会有太多的人使用容易猜到的密码。每年，各种计算机新闻机构都会发布最常用的密码清单，“123456” 和 “密码” 始终位居前五名。还有其他的。管理员非常喜欢使用 “上帝”。没错，这些要么幽默，要么很容易记住，但也很容易猜到。黑客知道最常见的密码是什么，在试图入侵系统时会先尝试使用它们。如果你的组织允许使用这些类型的密码，你最终会被泄露。

一个不太明显但仍然危险的漏洞是向用户提供有关登录失败的信息。这很糟糕，因为如果您在用户名不存在时返回一条消息，在用户名存在但密码不正确时返回另一条消息，则攻击者可以绘制出系统上的有效用户，集中精力猜测这些用户名的密码。如果再加上允许无限制猜测密码的身份验证漏洞，攻击者将能够对他们找到的任何有效用户进行字典攻击，如果密码很容易猜出来，这可能会使他们很快进入系统。

为什么身份验证漏洞如此危险？

美国旧西部有一个经典故事，讲述的是一个偏执狂的宅基地主在前门安装了三把锁，登上窗户，睡觉时手里拿着很多枪触手可及。早上他被发现死亡。他的袭击者之所以找到他，是因为他忘记锁后门。身份验证漏洞很像这样。如果攻击者能够使用有效的用户名和密码进入您的网络，那么无论您使用哪种监控工具或主动控制措施或雇用多少专家分析师，都无关紧要。

进入内部后，对攻击者可以做的事情几乎没有限制。只要他们在用户权限范围内行事（如果他们泄露了管理员帐户，则权限可能相当广泛），他们被及时抓住以防止出现严重问题的可能性就很小。这使得身份验证类别的漏洞成为任何系统上最危险的漏洞之一。

消除身份验证漏洞

消除网络中身份验证漏洞的最佳方法之一是制定良好的全球强制性密码策略。不仅应限制用户，甚至是管理员，使用诸如 “密码” 之类的密码，还应强制增加复杂程度，使攻击者无法应用字典或常用短语类型的攻击。您可以根据系统受保护的重要性制定自己的密码创建规则。这样做会使攻击者更难猜出或暴力破解密码。

您还应该限制登录尝试失败的次数，这样，如果输入的错误密码超过（比方说三次），则用户将被锁定。封锁可能是暂时的，因为即使延迟几分钟也会阻止自动字典攻击的继续。或者，除非管理员解锁帐户，否则它可以是永久性的。无论哪种情况，每当发生此类封锁时，都应提醒安全人员，以便他们可以监视情况。

防止攻击者收集信息的另一种好方法是，每当输入错误的用户名或密码时，都要生成通用消息。两种情况都应该相同，这样黑客就不会知道他们是由于用户不存在还是因为密码错误而被拒绝。

身份验证漏洞是大多数系统中最常见和最危险的漏洞之一。但是它们也很容易找到和消除。

有关身份验证漏洞的更多信息

要进一步阅读，你可以看看 OWASP 身份验证备忘单。你还可以使用以下方法来测试你新获得的防御知识 免费演示 Secure Code Warrior 平台，该平台培训网络安全团队成为终极网络战士。要了解有关克服此漏洞以及其他恶棍威胁的更多信息，请访问 安全代码勇士博客。

加紧努力，直面安全代码勇士平台中的身份验证漏洞： [从这里开始]