аутентификация
7 статей с этим тегом
Ошибки в сбросе пароля: 5 способов захватить аккаунт при надёжном входе и как их исправить
Сброс пароля позволяет человеку, который не знает пароль, задать новый, — значит, это самостоятельный путь аутентификации. Сколько ни усиливайте вход, если сброс слабый, реальная сила аутентификации равна силе сброса. Пять типичных ошибок: угадываемые токены, токены без срока действия, ссылки, которые остаются в почтовом ящике, ссылки, адрес которых можно задать извне (заголовок Host), и ответы, раскрывающие, существует ли аккаунт. Главное при реализации — отделить то, что руководство требует, от чисел, которые оно оставляет вам.
Ограничение частоты запросов и защита от злоупотреблений: лимиты против перебора паролей и неконтролируемых расходов
Ограничение частоты обычно не срабатывает не потому, что лимит слишком мягкий, а потому, что задан не тот вопрос. Три вопроса: кого считать (IP можно подделать, и его делят настоящие пользователи, поэтому главное — идентичность), что считать (одно число запросов пропускает дорогие одиночные операции — стоимость, размер, число записей) и что происходит у предела (грубая блокировка — это отказ в обслуживании для законных пользователей). NIST ограничивает неудачные попытки подряд сотней и просит задержки и CAPTCHA вместо блокировки; OWASP включает лимиты расходов у сторонних сервисов — последний рубеж против финансового ущерба.
Аутентификация и авторизация: один только вход не защищает данные других пользователей
Аутентификация — проверка того, кто вы; авторизация — решение о том, что вам можно делать. Это разные вещи, и добавить вход — не значит настроить авторизацию. Без привязки данных к владельцу (user_id) получается «вошёл = видит все данные» — Broken Access Control, которую OWASP ставит на первое место. Добавьте scaffold с открытой регистрацией — и посторонний сможет зарегистрироваться и получить доступ. Защита: привязывайте каждый запрос к владельцу, закрывайте ненужную регистрацию, стройте эшелонированную оборону, ведите аудит и логи доступа до инцидента, отслеживайте новые регистрации.
Что такое passkey: открытый ключ, защита от фишинга и синхронизация
Passkey подтверждает вход подписью закрытого ключа, а сервис хранит открытый ключ. Синхронизируемые passkey могут передавать зашифрованные учётные данные между устройствами; привязанные к устройству не синхронизируются. MFA зависит от обязательной проверки пользователя; защита устройства, аккаунта синхронизации и восстановления остаётся важной.
Что такое хеширование паролей? Безопасное хранение паролей через одностороннее преобразование
Хеширование паролей означает хранение пароля как одностороннего, необратимого преобразования. Никогда не храните пароли в открытом виде. В отличие от шифрования, расшифровать обратно нельзя — в этом и смысл. Но обычные MD5/SHA-256 падают перед радужными таблицами и перебором. Решение: соль на каждого пользователя плюс намеренно медленный хеш (bcrypt/Argon2/scrypt). Не изобретайте своё — используйте стандартную функцию.
Как безопасно хранить пароли: правильный способ хеширования и соли
Практическое руководство по безопасному хранению паролей на сервере. Поймите, почему открытый текст, шифрование и сырые хеши все проваливаются, затем сойдитесь на одном ответе: соль для каждого пользователя плюс намеренно медленный хеш (рекомендуется Argon2id, bcrypt/scrypt как альтернативы). Не изобретайте своё — используйте стандартную функцию, со временем повышайте стоимость и переносите слабые хеши перехешированием при входе.
Что такое JWT (JSON Web Token)? Как работают подписанные токены и как использовать их безопасно
JWT — это токен, который сервер подписывает и выдаёт, чтобы подделку можно было обнаружить. Он состоит из трёх частей — header.payload.signature — и сервер проверяет подпись, чтобы подтвердить подлинность. Остерегайтесь: (1) всегда проверяйте подпись и фиксируйте ожидаемый alg (отклоняйте alg:none); (2) содержимое может прочитать кто угодно, поэтому не кладите туда секреты; (3) держите короткий срок действия и имейте стратегию отзыва. Декодирование (чтение) и проверка (подтверждение подлинности) — разные вещи.