主持人注意: 这个问题不适合我们的问题和答案格式,目前适用于 Stack Overflow 的具体性规则. 我们通常使用“历史锁”用于内容仍然有价值的问题. 但是,这个问题的答案是积极维护的,历史锁不允许编辑答案。
基于表格的网站验证
我們認為 Stack Overflow 不僅應該是非常具体的技術問題的資源,而且應該是如何解決常見問題的變化的一般指南。
它应该包括主题如:
如何登录 如何登录 如何保持登录 如何管理Cookie(包括推荐设置) SSL/HTTPS加密 如何存储密码 使用秘密问题 已忘记用户名/密码功能 使用虚假信息 防止跨网站请求漏洞(CSRF) OpenID “记住我” 检查框 浏览器自动完成用户名和密码 秘密 URL(由 digest 保护的公共 URL) C
角色和授权 HTTP 基本验证
请帮助我们:
提示子主题 提交关于这个主题的好文章 编辑官方答案
当前回答
基本上,在登录时唯一的实用方法是使用 HTTPS 或其他基于证书的加密系统(例如 TLS)或经过验证和测试的挑战响应系统(例如,基于 Diffie-Hellman 的 SRP)。
CAPTCHAS 反对人类
知道CAPTCHA的实施不是相同的;它们往往不是人可解决的,其中大多数实际上是对机器人无效的,所有这些都是对廉价第三世界劳动无效的(根据OWASP,目前的饮料价格为每500美元),一些实施可能在某些国家是技术上非法的(参见OWASP认证骗局)。
一旦服务器已验证登录和密码对您的用户数据库并发现匹配,系统需要一种方式来记住,浏览器已验证。
第三部分:使用秘密问题
第四部分:忘记密码功能
第七部分:分布式残酷力量攻击
其他回答
发送信号
如果客户端和服务器之间的连接不加密,那么你所做的一切都是对人中间攻击的脆弱性。 攻击者可以取代输入的JavaScript来打破黑客或向他们的服务器发送所有认证,他们可以听取客户端的回应,并完美定义用户等。
存储密码
安全问题
Cookies可以被盗:它们仅像客户端的机器和其他通信一样安全。它们可以从磁盘上阅读,在网络流量中切割,通过跨网站编写攻击取消,从中毒的DNS中切割,以便客户端将其Cookies发送到错误的服务器。
金融网站,如银行和信用卡,另一方面,只有敏感数据,不应该允许自动登录或低安全模式。
基本上,在登录时唯一的实用方法是使用 HTTPS 或其他基于证书的加密系统(例如 TLS)或经过验证和测试的挑战响应系统(例如,基于 Diffie-Hellman 的 SRP)。
CAPTCHAS 反对人类
知道CAPTCHA的实施不是相同的;它们往往不是人可解决的,其中大多数实际上是对机器人无效的,所有这些都是对廉价第三世界劳动无效的(根据OWASP,目前的饮料价格为每500美元),一些实施可能在某些国家是技术上非法的(参见OWASP认证骗局)。
一旦服务器已验证登录和密码对您的用户数据库并发现匹配,系统需要一种方式来记住,浏览器已验证。
第三部分:使用秘密问题
第四部分:忘记密码功能
第七部分:分布式残酷力量攻击
我想添加一个建议我已经使用,基于防御在深度. 你不需要有相同的 auth&auth 系统的管理员和普通用户. 你可以有一个单独的登录表格在一个单独的URL执行单独的代码的请求,这将提供高的特权。
首先,一个强烈的信念,这个答案不是最适合这个准确的问题,它绝对不应该是顶级答案!
我将继续提到Mozilla提出的浏览器ID(或可能更准确地说,验证电子邮件协议)在寻找升级途径,以便在未来获得更好的验证方法。
我会这样总结一下:
Mozilla 是一個非營利的價值,與尋找這個問題的好解決方案相一致. 現實在今天是,大多數網站使用基於表格的認證 基於表格的認證有很大的缺點,這是一個增加的冒險。
这不是严格的“基于表格的网站验证”。但是,这是一个努力,从当前的标准的基于表格的验证转向一些更安全的东西:浏览器支持的验证。
使用 OpenID Connect 或 User-Managed Access。
因为没有什么比不做任何事情更有效。
