Những đoạn chương trình kiểm tra danh tính và quản lý phiên làm việc của người sử dụng thường hay được làm qua loa không đúng cách. Vì vậy cho phép kẻ tấn công từ bên ngoài có thể truy cập vào những tài nguyên nội bộ trái phép (admin page, inside, control page …).
Những kẻ tấn công có quyền truy cập vào chỉ một vài tài khoản hoặc chỉ một tài khoản quản trị để xâm phạm hệ thống. Tùy thuộc vào miền của ứng dụng, điều này có thể cho phép rửa tiền, gian lận bảo mật xã hội và trộm cắp danh tính hoặc tiết lộ thông tin nhạy cảm được bảo vệ một cách hợp pháp.
Ví dụ:
- Hiển thị phiên ID trong url:
http://example.com/sale/saleitems;jsessionid=2P0OC2JSNDLPSKHCJUN2JV?dest=Hawaii
- Thời gian chờ của ứng dụng không được đặt chính xác: Khi bạn truy cập máy tính của thư viện. Thay vi ấn đăng xuất ứng dụng, bạn chỉ đóng tab ứng dụng và bỏ đi. Kẻ xấu có thể truy cập và ứng dụng với tài khoản và mật khẩu của bạn.
- Mật khẩu không được mã hóa và băm là sơ hở lớn để cho kẻ tấn công truy cập vào database của bạn.
- Tài khoản và mật khẩu dễ dự đoán: username: admin / password: admin hoặc đặt mật khẩu ngắn.
Cách ngăn chặn:
- Thông tin xác thực cần được bảo vệ: Thông tin xác thực người dùng phải được bảo vệ khi được lưu trữ bằng cách sử dụng băm hoặc mã hóa.
- Không hiển thị ID phiên trong URL: ID phiên không được hiển thị trong URL (ví dụ: viết lại URL).
- ID phiên sẽ hết thời gian chờ: Phiên người dùng hoặc mã thông báo xác thực phải được vô hiệu hóa hợp lệ trong quá trình đăng xuất.
- Tạo lại ID phiên: ID phiên sẽ được tạo lại sau khi đăng nhập thành công.
- Không gửi thông tin đăng nhập qua các kết nối không được mã hóa: Mật khẩu, ID phiên và các thông tin xác thực khác sẽ không được gửi qua các kết nối không được mã hóa.
- Độ dài mật khẩu: Độ dài mật khẩu tối thiểu phải dài ít nhất tám (8) ký tự. Kết hợp chiều dài này với độ phức tạp làm cho một mật khẩu khó đoán bằng cách sử dụng một cuộc tấn công bạo lực.
- Mật khẩu phức tạp: Mật khẩu phải là sự kết hợp của các ký tự chữ và số. Ký tự chữ và số bao gồm chữ cái, số, dấu câu, ký hiệu toán học và các ký hiệu thông thường khác.
- Tên người dùng / Mật khẩu: Phản hồi thất bại xác thực không nên cho biết một phần của dữ liệu xác thực là không chính xác. Ví dụ: thay vì "Tên người dùng không hợp lệ" hoặc "Mật khẩu không hợp lệ", chỉ cần sử dụng "Tên người dùng hoặc mật khẩu không hợp lệ" cho cả hai. Các phản hồi lỗi phải thực sự giống hệt nhau trong cả mã hiển thị và mã nguồn.
- Bảo vệ chống lại đăng nhập: Thực thi việc vô hiệu hóa tài khoản sau một số lần đăng nhập không hợp lệ được thiết lập (ví dụ: năm lần thử chung). Tài khoản này phải được vô hiệu hóa trong một khoảng thời gian đủ để ngăn cản sự đoán trước bạo lực của thông tin đăng nhập, nhưng không miễn là cho phép thực hiện tấn công từ chối dịch vụ.
Link tham khảo:
Nhận xét
Đăng nhận xét