为什么用户访问容易受到攻击？

引言

用户访问被认为是应用程序安全性中最薄弱的环节，因为它关系到确保只有符合资格的用户才能进入应用程序的正确区域。 这是一个复杂的过程，有很多步骤，这些步骤很容易导致问题。 需要进行初始身份验证以验证用户是否是他们声称的人。 这依赖于用户名和密码，而这些密码实际上是可猜测的、被盗或被人们自己滥用的。 之后，是授权——根据用户的角色和权限决定每个用户允许访问的应用程序类型。 做错了事会让用户与他们无权访问的数据或操作进行交互。

控制所有多个用户（包括角色、权限和策略）的任务在大型应用程序中极其复杂。 开发人员在这里可能会制造安全漏洞。 之后，攻击者入侵的常见目标可能是用户访问点，例如登录页面，通过发现实施缺陷或利用漏洞。 由于用户访问涵盖了技术实施和人为行为方面，因此如果实施不正确，则提供了太多安全错误的机会。 随着时间的推移，威胁范围会扩大。 因此，用户访问控制需要定期审查和更新，因为它们变得不安全。 后果可能是威胁性的：从数据泄露和系统破坏到完全有效的访问。 但是，实施起来很复杂； 因此，正确执行绝对是必要的。

由于多种原因，用户访问通常被认为是*最薄弱的环节*，容易受到攻击

• 复杂性： 通过处理多个用户角色、权限和授权级别来实现对应用程序的用户访问控制。 复杂性的增加使得难以保证在所有应用程序区域中统一和一致的访问策略的可靠实施和维护。
• 人为因素： 用户高度依赖于社交互动，包括身份验证（例如，用户名和密码），这很容易受到社会工程的影响； 弱凭证做法和无意的错误。
• 缺乏适当的实施： 用户访问控制的成功实施意味着必须开发最高质量的安全原则和实践。 开发人员可能会无意中通过遗漏外部化或绕过权限来为攻击者创建后门，从而导致未经授权的访问或权限提升。
• 攻击面： 用户访问点，例如登录表单、密码重置机制和用户管理界面，是攻击者可以利用以非法访问系统的某些攻击媒介。
• 旧系统： 遗留或过时的应用程序和系统继承了其安全访问机制，并且可能缺乏现代安全标准，这使其更容易受到各种攻击。
• 信任边界： 程序可能需要信任用户输入数据或会话数据，这些数据可能被黑客修改或篡改，因此可能导致未经授权的访问或权限提升。
• 不断变化的威胁： 随着新攻击技术和漏洞的出现，用户访问机制应定期评估和调整，以保持对新兴威胁的领先地位。

作为一种解决方案，通过行业最佳实践（包括强大的身份验证方法、最小权限原则、定期安全审计以及开发人员和用户的持续安全意识培训）来确保安全的用户访问非常重要。

Web 应用程序用来安全地处理用户访问的三个关键机制

• 认证
• 会话管理
• 访问控制

认证

身份验证是验证身份的过程 - 确认一个人或一个实体声称是谁。 它通过确保所有用户都经过身份验证并且如果没有经过身份验证，则被视为匿名用户并被赋予最低信任级别而提供显着优势。 身份验证通常缩写为“authn”。

大多数 Web 应用程序都应用标准的身份验证系统，用户应提供其用户名/电子邮件和密码，Web 应用程序会对其进行验证。 尽管如此，一些应用程序已开始使用多种身份验证渠道，例如一次性密码、智能卡等。 除了登录之外，身份验证还负责帐户注册、密码重置和帐户恢复过程。

一些常见的身份验证漏洞包括

• 无效的凭证很容易被攻击者猜测到，因此允许帐户被接管
• 缺乏暴力破解保护，导致攻击者尝试大量密码猜测。
• 同样有必要确保冗余的错误消息不会故意或无意地向攻击者提供有用的信息。
• 例如，具有极弱密码的默认“admin”帐户是一个软目标，经验丰富的黑客可能会找到一种方法来获得未经授权的特权访问权限。

为了保护身份验证，最佳实践包括

• 规定强大的、无法攻破的凭证策略。
• 正确的哈希、加盐和存储已保存的凭证。
• 应包括安全密码重置和帐户恢复协议的实施。
• 采用 CAPTCHA 和其他工具以避免暴力破解攻击。
• 限制登录尝试失败的速率

在这种情况下，需要安全身份验证方案，因为系统中的任何安全漏洞都可能被网络入侵者利用，以假装他们是合法用户并获得对应用程序的非法访问权限。

它们如何相互依赖？

现在我们已经意识到这三者是如何相互依赖的，其中任何一个的缺陷都会降低整个访问处理系统的有效性。

例如，如果身份验证过程有缺陷，攻击者可能能够以任何用户的身份登录并获得未经授权的访问。 如果会话令牌是可预测的，攻击者将能够冒充任何已登录用户的身份并访问他们的数据。 如果违反了访问限制，任何用户都可以利用旨在受到保护的功能。

主要问题是，由于双方发送相同的请求，因此很难区分攻击者和授权用户。 由于所有这些因素，攻击者始终试图通过提供有关受害者用户的信息来获得访问权限，这使得用户的访问更容易受到攻击。

如何保护系统免受黑客攻击？

• 确保密码强度高、复杂，并且具有最短长度、各种字符以及定期过期。
• 使用硬件令牌、生物识别或一次性代码来实现多因素身份验证。
• 告知用户有关安全信息处理技术、钓鱼意识和安全最佳实践的信息。
• 用户应该只被赋予执行其工作所需的最低限度的访问权限。
• 使用最新的安全补丁更新软件、应用程序和系统。
• 与其以纯文本或使用不充分的加密存储密码，不如使用强大的加盐哈希技术。
• 建立基于角色的访问权限、严格的访问控制以及日志和用户活动监控。
• 在传输和存储过程中，使用强大的加密技术以及安全的通信协议来保护敏感数据。
• 实施保护措施、访问控制和监视，以确保设备和设施的安全物理可访问性。
• 创建一个事件响应策略来查找、阻止和删除威胁。

结论

访问允许黑客利用漏洞。 预防这些风险需要严格的监管和用户访问监控。