WEB安全之威胁解析

本文章转载自 http://www.xuebuyuan.com/60198.html

主要威胁：

暴力攻击（brute-force attack）：这些攻击经过尝试全部可能的字符组合，以发现用户证书。首先尝试使用字典单词、经常使用密码或可预测的字符组合，优化暴力攻击。

帐户劫持（account hijacking）：这种威胁包括接管合法用户的帐户，有时甚至会拒绝合法用户访问本身的帐户。

社会工程（social engineering）：这是使用软技巧（而不是软件和硬件技术得到敏感信息（例如：密码）的过程，这些信息可用于影响系统的安全性。

垃圾邮件（spamming）：咱们都很熟悉这种威胁。它是将大量无用电子邮件发送给用户或Web站点，从而堵塞因特网，有时甚至会引发服务器崩溃。 

1.2 创建用户证书

       1.2.1 实施强密码

              小结：使用技术性方法和策略来确保强用户密码。

              威胁：暴力攻击、帐户劫持

              可靠密码策略：        

• 实施最小长度为8位字符的密码   
• 不限制密码的最大长度        
• 须要多种字符集，包括小写字母、大写字母、数字和标点符号        
• 容许用户在他们的密码中使用任意键盘字符，包括空格        
• 不容许字典单词        
• 不容许密码中出现用户名

攻击工具：

http://neworder.box.sk/codebox.links.php?key=wwwcrks

http://www.securityfocus.com/tools/1127   

字典：

http://www.gattinger.org/wordlists/download.html

http://neworder.box.sk/codebox.links.php?key=passdict

   

1.2.2 避免使用易于猜想的证书

              小结：易于猜想的用户名和密码将使用帐户容易受到攻击

              威胁：暴力攻击、帐户猜想、帐号劫持

              安全策略：

• 不容许客服人员为客户选择密码
• 若是随机生成密码，则该密码不要遵循可预测的模式或基于用户名
• 绝对不要在任何系统上使用默认密码
• 不要使用可预测的或连续的用户帐户名      
• 不要为管理帐户使用明显的名称        

禁止使用听起来“官方化”的名字（如：administrator，support，root，postmaster，abuse，webmaster，security等

1.2.3 防止证书获取

       小结：证书获取将用户暴露在各类攻击之下

       威胁：暴力攻击、社会工程、垃圾邮件

       安全策略：        

• 绝对不要使用电子邮件地址做为用户名，而且避免在其余地方显示用户的电子邮件地址Ø        
• 避免使用公有的用户目录和白页        
• 容许用户在须要时改变他们的用户名        
• 容许用户将一个或多个公有别名赋给他们的帐户        
• 容许探测暴力攻击或获取攻击

• 1.2.4 限制空闲的帐户

  小结：空闲的帐户更容易成为电脑黑客的目标

  威胁：帐户劫持

  安全策略：

  若帐户长时间空闲，应该对其进行控制，这须要一个相似于密码检索过程的从新激活过程

  避免将任何代表某个帐户是空闲的信息提供给其余人

  在改变任何帐户信息，或者执行重要事务后，经过电子邮件、信件或其余方式通知用户，以防该动做不是同用户本人完成的

  使用反欺骗技术，例如：监控殿堂的帐户活动

  不要自动地为使用离线帐户的客户激活在线帐户访问

  
  

  1.3 管理密码

  1.3.1 存储密码

  小结：对于应用程序和其余人来讲，存储在数据库中的密码是一种危险

  威胁：帐户劫持、潜在的可能性

  安全策略：

  绝对不要在普通文本中存储密码，也不要使用可逆加密方法

  使用强哈希算法，例如MD五、SHA-1，SHA256或SHA512

  1.3.2 密码时效和历史记录

  小结：旧密码或重用的密码将给攻击者提供更多的机会

  威胁：暴力攻击、帐户劫持

  安全策略：

  设置适合于应用程序和用户的最长密码时效

  保持最近密码列表，以防止密码重用

  若是可能，实施密码从新设置之间的最短期间隔

  1.3.3 改变密码

  小结：简化并鼓励用户按期改变密码

  威胁：暴力攻击、帐户劫持

  安全策略：

  老是容许用户本身改变密码

  用户能够直观并简单地改变密码

  提醒或强迫用户按期改变密码

  须要知道原有的密码才能改变新密码

  须要用户输入两次新密码，以确保准确性

  经过电子邮件或其余通讯方式确认帐户改变

  改变密码后，终止全部活动的会话，而且要求验证

  
  

  1.4 从新设置丢失或被贵忘的密码

  1.4.1 从新设置密码

  小结：按照精心计划的过程从新设置被丢失或遗忘的密码

  威胁：暴力攻击、帐户劫持

  安全策略：

  将从新设置密码做为安全事件对待，记录客户端的IP地址，而且采起其余实际的安全措施

  绝对不要找回用户的密码；只容许用户设置新密码

  绝对不要使用密码提示来提醒用户实际密码

  经过回答安全问题或提供与帐户相关的信息，请求用户代表对该帐户的了解程序。绝对不容许匿名从新设置密码

  发送给用户一封电子邮件，确认从新设置密码，提供一个安全连接以完成该过程

  若是可行的话，清除任何使用帐户存储的敏感信息，例如：信用卡号

  在从新设置密码后终止全部现有的会话

  1.4.2 经过电子邮件发送信息

  小结：电子邮件是不安全的，不该该使用它传送敏感信息

  威胁：敏感信息泄漏、帐户劫持、用户隐私

  安全策略：

  绝对不要经过电子邮件发送敏感信息，例如：用户证书或信用卡信息

  绝对不要只依赖电子邮件来验证用户的身份

  不要使用电子邮件来保存包含敏感信息的Web表单提交结果

  若是可能的话，数字化签名或加密电子邮件通讯

  1.4.3 分配临时密码

  小结：除非强迫执行，不然用户不会改变临时密码

  威胁：帐户劫持、密码猜想

  安全策略：

  避免容许客服表明设置临时密码
  若是必须使用临时密码，则使用强随机密码生成器

  若是必须使用临时密码，则提供很短的过时日期，或者将密码设置为已通过期

  1.4.4 使用秘密问题

  小结：秘密问题并非密码的代替品

  威胁：敏感信息泄漏、帐户劫持、用户隐私

  比较好的秘密问题示例：

  a)
  第一个男友或女友的姓名是什么？

  b)
  在童年时代，印象最深的电话号码是哪个？

  c)
  在孩童年代，最喜欢去的地方是哪儿？

  d)
  喜好的演员、音乐家和艺术家分别是谁？

  安全策略：

  秘密问题自身并不安全，绝对不该该等同于密码进行使用

  容许用户在须要的时候改变秘密问题和答案

  检测对秘密问题的暴力攻击

  
  

  1.5 受权用户

  1.5.1教育用户

  小结：用户必须知道如何保护他们的帐户

  威胁：帐户劫持、社会工程、身份窃取

  安全策略：

  经过各类媒体，教育用户使用Web应用程序时所涉及的各类安全风险

  若是可能的话，给用户提供一个论坛来讨论安全问题
  绝对不要发送给用户的电子邮件中提供连接或表单，要求他们登陆到帐户

  1.5.2 让用户置身其中

  小结：让用户参与安全性防御将提升用户对安全性的理解，而且有助于限制各类攻击

  威胁：帐户劫持、社会工程

  安全策略：

  容许用户访问安全事务和事件的历史记录

  提供给用户一种清楚并简单的方法来报告安全事故，而且要求他们报告任何可疑事件若是可能的话，给用户提供一个论坛来讨论安全问题和事故容许须要使用高级安全安全选项的用户访问这些选项给用户提供一种方法来废除他们再也不但愿使用的帐户