主持人注意: 这个问题不适合我们的问题和答案格式,目前适用于 Stack Overflow 的具体性规则. 我们通常使用“历史锁”用于内容仍然有价值的问题. 但是,这个问题的答案是积极维护的,历史锁不允许编辑答案。
基于表格的网站验证
我們認為 Stack Overflow 不僅應該是非常具体的技術問題的資源,而且應該是如何解決常見問題的變化的一般指南。
它应该包括主题如:
如何登录 如何登录 如何保持登录 如何管理Cookie(包括推荐设置) SSL/HTTPS加密 如何存储密码 使用秘密问题 已忘记用户名/密码功能 使用虚假信息 防止跨网站请求漏洞(CSRF) OpenID “记住我” 检查框 浏览器自动完成用户名和密码 秘密 URL(由 digest 保护的公共 URL) C
角色和授权 HTTP 基本验证
请帮助我们:
提示子主题 提交关于这个主题的好文章 编辑官方答案
当前回答
但是,我不推荐这一点,除了公共,低值服务. 这是一个问题与上面的其他答案的一些 - 不要尝试重新实施服务器侧验证机制 - 这个问题已经解决,并支持大多数主要的浏览器. 不要使用Cookies. 不要存储任何东西在自己的手动滚动数据库. 只是问,根据请求,如果请求是验证的。
这是一个非常艰难的部分. 唯一合适的解决方案是网络的信任. 例如,你加入医院作为医生. 你创建一个网站主办在某个地方与你的照片,你的护照号码,和一个公共密钥,并用私人密钥黑客所有这些。 你然后访问医院和系统管理员看你的护照,看看照片是否匹配你,然后黑客网页
然而,它是创建新的帐户的唯一安全方式,可以访问没有自我创建的有价值的信息。
其他回答
关于身份验证系统的我最喜欢的规则:使用密码,而不是密码. 易于记住,难以破坏. 更多信息: 编码 恐怖: 密码 vs. 密码
基本上,在登录时唯一的实用方法是使用 HTTPS 或其他基于证书的加密系统(例如 TLS)或经过验证和测试的挑战响应系统(例如,基于 Diffie-Hellman 的 SRP)。
CAPTCHAS 反对人类
知道CAPTCHA的实施不是相同的;它们往往不是人可解决的,其中大多数实际上是对机器人无效的,所有这些都是对廉价第三世界劳动无效的(根据OWASP,目前的饮料价格为每500美元),一些实施可能在某些国家是技术上非法的(参见OWASP认证骗局)。
一旦服务器已验证登录和密码对您的用户数据库并发现匹配,系统需要一种方式来记住,浏览器已验证。
第三部分:使用秘密问题
第四部分:忘记密码功能
第七部分:分布式残酷力量攻击
我不知道是否最好作为答案或评论回答这个问题,我选择了第一种选择。
至于第四部分:第一个答案中的忘记密码功能,我会提到时间攻击。
在记住您的密码表格中,攻击者可能会检查完整的电子邮件列表并检测到已注册到系统(参见下面的链接)。
至于被遗忘的密码表格,我会补充说,这是一个很好的想法,在成功和失败的查询与某些延迟功能之间的平等时间。
https://crypto.stanford.edu/~dabo/papers/webtiming.pdf
我想添加一个建议我已经使用,基于防御在深度. 你不需要有相同的 auth&auth 系统的管理员和普通用户. 你可以有一个单独的登录表格在一个单独的URL执行单独的代码的请求,这将提供高的特权。
但是,我不推荐这一点,除了公共,低值服务. 这是一个问题与上面的其他答案的一些 - 不要尝试重新实施服务器侧验证机制 - 这个问题已经解决,并支持大多数主要的浏览器. 不要使用Cookies. 不要存储任何东西在自己的手动滚动数据库. 只是问,根据请求,如果请求是验证的。
这是一个非常艰难的部分. 唯一合适的解决方案是网络的信任. 例如,你加入医院作为医生. 你创建一个网站主办在某个地方与你的照片,你的护照号码,和一个公共密钥,并用私人密钥黑客所有这些。 你然后访问医院和系统管理员看你的护照,看看照片是否匹配你,然后黑客网页
然而,它是创建新的帐户的唯一安全方式,可以访问没有自我创建的有价值的信息。
