Entry № 144
认证失效
认证失效 是什么?
认证失效认证或会话管理存在缺陷,使攻击者得以冒充合法用户或接管账户的一类漏洞。
认证失效涵盖任何能让攻击者绕过或破坏身份验证的缺陷,包括接受弱口令、缺少暴力破解防护、可预测或不过期的会话令牌、不安全的密码重置流程、缺失 MFA、JWT 签名问题以及明文存储凭据。它长期位列 OWASP Top 10,并是凭据填充和账户接管的基础。常见防御包括强制唯一强密码、MFA、限速与锁定、安全的口令存储(带盐的 Argon2/bcrypt)、短生命周期的签名会话令牌,以及经过审计的重置与找回流程。
● 示例
- 01
应用在 URL 中传递会话 ID,且登录后不刷新。
- 02
密码重置使用 4 位数字令牌通过邮件发送。
● 常见问题
认证失效 是什么?
认证或会话管理存在缺陷,使攻击者得以冒充合法用户或接管账户的一类漏洞。 它属于网络安全的 漏洞 分类。
认证失效 是什么意思?
认证或会话管理存在缺陷,使攻击者得以冒充合法用户或接管账户的一类漏洞。
如何防御 认证失效?
针对 认证失效 的防御通常结合技术控制与运营实践,详见上方完整定义。
认证失效 还有哪些其他名称?
常见的别称包括: 身份与认证失败, 认证绕过。