驗證失敗消息

Question

這是我一直提出的問題：

「什麼是有效的憑據登錄到網站時要處理的最佳方式難道我們告訴用戶，如果他們的用戶名無效或同樣地，如果？他們的密碼是無效的？「

我做了一些搜索，但我很難找到一個有一些最佳實踐的網站，以引用它們。

我在這裏的社區問題： 有沒有人在這裏知道一個網站，有一些很好的指導方針/最佳實踐呢？

Answer 1

關於這個問題我能找到的最權威的討論來自「網絡安全測試手冊」，12.8節。

書中指出：

1. 你應該提供一個通用的消息表明是用戶名或密碼不正確;揭示只要用戶名是正確的，攻擊者就可以枚舉有效的用戶名。
2. 經過X次嘗試後，賬戶鎖定功能也具有相同的風險;攻擊者可以鎖定帳戶以查明用戶名是否有效。

您可以通過閱讀谷歌圖書在這裏，整個「處方」： http://books.google.com/books?id=VmrSJ3V-s_MC&lpg=PA249&ots=cU7V62FQOA&dq=web%20security%20reveal%20valid%20username&pg=PA248#v=onepage&q=web%20security%20reveal%20valid%20username&f=false

Answer 2

只是說他們的憑據是不正確的。

告訴他們一條信息是正確的意味着你正在幫助黑客發現用戶名至少。

如果我輸入：

管理

密碼1

例如，我得到迴應的密碼是無效的現在我知道，有一個名爲「admin」用戶在你的系統上。我現在只需更改密碼即可獲得訪問權限。

如果響應是「無效的用戶名或密碼」，那麼我不知道是否有用戶名爲「admin」。