简要描述

当用户密码泄漏或者有时候用户自己想要去修改密码，此时需要系统提供“修改密码”的功能。

解决方案

修改新密码需要旧密码，并且需要重新确认一次新密码；

其它请参考认证和密码管理安全规则1、3、5、6、7、8和9

备注

简要描述

弱口令很容易被暴力破解，口令越弱，被暴力破解的成功率就越高。

解决方案

设置密码最小密码长度（建议6个字符）和最大长度（建议128个字符）；

设置密码复杂度要求（建议数字、大小字母和特殊字符4选2）；

【可选建议】对用户使用过的历史密码进行hash并存储，设置的新密码时，使用新密码的hash和历史密码的hash做对比，保证用户不能在过短时间内设置两次相同密码；

正常情况下，不允许用户修改或关闭密码复杂度验证，特殊情况下，可允许只对用户提出安全提示或允许用户进行关闭；

备注

简要描述

密码是具有保密性的，不应当存在密码被还原成明文的情况。管理员或服务人员可以在不需要旧密码的情况下为用户重置新密码，因此，不存在需要还原明文的理由，常用的机制是使用哈希算法来存储密码，但是现今有些算法已经证明是不安全的，所以应当确保使用时选择足够安全的算法。

解决方案

1.4.1、对于不需要还原口令明文的场景（以下二选一）：

使用sha256对口令进行hash后再存储；

如果使用MD5，则应为每个用户口令添加独立的salt值（比如userid）并hash后再存储（参考附录11.9.3）；

1.4.2、对于需要还原口令明文的场景：

使用AES128或以上的强安全算法对口令进行加密后再存储（参考附录11.9.1），并安全地保护密钥（参考 加密解密à密钥的保存）；

1.4.3、如果没有特殊需求，不要将口令密文或哈希值以任何形式返回给用户。

备注

除了口令之外，对于所有被识别出来的业务敏感数据在存储时应满足解决方案中的要求。

简要描述

为重置密码/找回密码/忘记密码等重要模块提供安全开发建议。

解决方案

当使用回答问题的方式找回密码时，应保证所提供的问题的答案是难以猜测的也是难以通过公共资源获取的，同时建议需要用户正确回答两个或两个以上的问题，比如，我最喜欢的一句话，我最想去的地方等等。

如果通过Email的方式重置密码，则应将重置密码用的临时URL发送到用户的注册的Email，并为其设置合理的有效期；

确保重置密码的临时URL是不可猜测和破解的；

如果使用手机验证码的方式重置密码，应保障手机验证码安全（参考手机验证码章节）；

其它请参考证和认证和密码管理安全规则规则1、3、5、6、7、8和9。

备注

简要描述

应用程序必须要有足够的手段来抵御暴力破解和字典攻击。

解决方案

对暴力攻击行实施图形验证码或账户锁定策略，如果选择锁定策略，不可对账户进行永久锁定以避免造成拒绝服务攻击；

当认证失败时，不要告诉用户登录失败的具体原因，比如用户名不存在，密码不正确等，可只列举所有可能失败的原因；

【可选建议】在日志里记录用户每一次登录的信息，最起码要记录用户登录失败的信息；

【可选建议】尝试阻止同一个IP多次失败地去登录不同的账户；

【可选建议】如果用户已登录，进行多次关键操作失败后强制注销session（比如修改密码和校验短信验证码等等）；

备注

简要描述

该功能可以让用户返回原先访问的站点而不需要重新认证，对于在公共网络的用户来说是相当危险的。

解决方案

对于安全性要求较高的应用场景，不应当提供自动登录的功能，如果必须提供，应提示用户可能会存在的风险；

为持久性cookie设置合理的期限（建议不超过3天）。

备注

简要描述

对于对安全性有一定要求的场合，手机验证码提供了更加安全的保障，用户只有输入系统发送的短信验证码方可进一步操作。

解决方案

设置适当的手机验证码长度（至少4位纯数字）；

为需要验证手机验证码的请求设置防暴力破解机制（比如 多次尝试账户锁定和验证码失效等）；

限制单个账户调用短信网关接口的频度（建议1分钟1次）。

为手机验证码设置合适的自动失效期（建议0.5-1个小时）；

手机验证码使用后应立即失效。

备注

简要描述

图形验证码可以用来防御多种非人为操作的自动化攻击。

解决方案

保证在判断验证码之后再对请求做进一步处理；

使用强随机性函数产生验证码；

为验证码图片背景添加噪声；

图形验证码的形体尽量随机变化；

图形验证码在使用一次后立马失效。

未使用的图形验证码必须具有时效性。

备注