WEB账号管理安全设计思路.doc

WEB账号管理安全设计思路.docWEB 账号管理安全设计思路摘要:由于安全设计不足,账号注册、账号登录、权限验证等 WEB 账号管理功能往往造成信息泄露、暴力破解、平行权限等威胁。文章针对这些威胁进行了分析并介绍了相应的安全开发思路与方法。关键词: WEB 账号管理;账号注册安全设计;账号登录及权限验证设计1 引言近年来, 随着互联网技术的发展, 以及近期“互联网+”概念的提出, 越来越多传统行业融合互联网发展新形态、新业态, 如今许多企业的业务开展都离不开 WEB 应用系统, WEB 应用系统也成了黑客的重点攻击对象。据 Gartner 的数据表明,当前网络上 75% 的攻击是针对 wEB 应用。在 WEB 功能安全开发中, 由于 Web 账号管理功能安全设计不足引起的安全事件不仅有上升趋势, 而且影响面越来越广, 比如携程网站的用户信息泄露事件、 CSDN 用户名密码泄露事件等。为了避免 WEB 账号管理功能安全设计不足而导致黑客入侵, 本文从威胁角度分析 WEB 账号管理功能安全设计不足而导致相关的风险,同时介绍了相应的安全开发思路与方法。 2 账号注册安全设计由于账号注册功能安全设计不足导致的风险, 主要有信息泄露、弱口令及恶意注册。 用户信息泄露威胁分析用户注册时除了需要填写用户名、密码, 如今许多网站也要求填写用户隐私信息, 比如手机号码、邮箱、密保问题等。如果大量的用户信息被不法分子获取, 可能导致引发一系列的社会问题: 诈骗分子从非法渠道拿到了泄露的用户信息后导致电信诈骗更加精准化, 会采用有针对性的诈骗电话和短信, 以提高诈骗成功率。因此获取这些用户账号密码、隐私信息也成了黑客入侵网站主要的动机之一,导致近几年用户信息泄露案件频发。比如 CSDN 、猫扑、天涯、小米论坛等用户密码泄露事件, 由于这些网站采用明文存储密码, 黑客入侵这些网站后导致上千万用户的密码被直接泄露。 弱口令威胁分析注册阶段安全设计考虑不足容易引发另一个安全问题: 弱口令。目前还有许多 wEB 系统没有对口令复杂度作强制要求, 极易被黑客猜测到密码或者暴力破解。在台乌云上, 与弱口令相关的漏洞有 5000 多个, 其中不乏一些大型的互联网行业或者金融行业的公司网站存在该问题。 用户密码泄露防范如今密码加密常用的方式是将密码进行哈希得到散列值, 但黑客如果获得了密码散列值,然后通过查散列值字典(例如 MD5 密码破解网站), 便可以得到某用户的密码。给密码加 Salt 可以一定程度上解决这一问题。所谓加 Salt 方法, 就是加点“佐料”。这里的“佐料”被称作“ Sal t 值”,这个值是由系统随机生成的,并且只有系统知道。这样,即便黑客获取到了用户密码,因为不知道 salt 值,无法通过查散列值字典,还原真实密码。 用户信息泄露防范由于“用户信息”需要显示真实内容,只能采用加密技术(如 3DES 、 AES 等) 。可如果对用户信息采取加密存储,不仅会降低网站处理性能,容易被黑客通过不断查询用户信息形成 DDoS 攻击,而且难以对用户信息进行检索, 以上也是为什么许多大型网站甚至网上银行没有对用户信息进行加密的原因。为了防止黑客入侵网站从而获取用户信息,建议采用站库分离架构, 黑客如果控制了网站服务器, 也无法直接导出数据库, 提高黑客攻击的难