🔑 门锁不牢，一切白费！OWASP 第7位，深入剖析识别与认证失败

大家好！👋 在OWASP Top 10 攻克系列中，今天我们将探讨A07:2021-识别与认证失败（Identification and Authentication Failures），这个名称在2017年的“Broken Authentication”基础上变得更加全面。

如果您的家门有坚固的锁，但这个锁太常见（密码简单），或者您的钥匙串随意暴露给任何人，会发生什么呢？😱 同样地，“识别与认证失败”是一种由于确认用户身份（识别）和验证其身份（认证）过程中存在漏洞而产生的弱点。现在，让我们一起检查一下我们服务的第一个关卡——登录系统——到底有多坚固吧！🕵️‍♀️

🤔 识别与认证失败？那是什么？

“在确认你是谁以及你是否是本人过程中出现问题” 👥➡️❓

识别与认证失败是应用程序未能正确验证用户身份（Identification），或者验证身份（Authentication）的机制薄弱或实现不当而导致的安全问题。简单来说，它包括所有系统无法确定“尝试登录的人是否真的是本人”的情况。

这种漏洞非常致命，因为它可能允许攻击者窃取合法用户的账户（ID、密码），甚至完全绕过登录过程来访问系统。一旦账户被盗，攻击者就可以以该用户的权限执行所有操作。

---

🕵️‍♂️ 常见的识别与认证失败案例

在哪些情况下可以说识别与认证“失败”了呢？

1. 弱密码或可预测的密码 🔑

最基本也是最常见的问题。

• 问题点: 服务允许用户使用password123、123456、qwerty等简单或常见的密码。攻击者可以通过字典攻击（Dictionary Attack）或暴力破解攻击（Brute-force Attack）轻松猜测这些密码并窃取账户。
• 案例: 缺乏或密码复杂度策略过于薄弱，例如没有最小长度、大小写字母、数字、特殊字符组合等要求。

2. 不当的密码重置/恢复机制 🔄

密码丢失时的便利性有时会成为毒药。

• 问题点: “密码提示”问题过于简单（例如：“你母亲的姓氏是什么？”），攻击者可以通过社交媒体等公开信息推断答案，尝试窃取账户。或者，密码重置链接过于容易预测，或者没有有效期。
• 案例: 在重置密码时，仅凭用户ID就能发送重置邮件，并且在未验证邮箱地址的情况下，只显示“成功”消息。（暴露账户是否存在）

3. 会话管理漏洞 👻

登录后也必须安全。

• 问题点: 登录成功后会向用户发放会话令牌，如果此令牌过短或可预测，攻击者可以窃取或伪造它。或者，在注销时会话未能正确失效，攻击者可以利用被盗的会话继续保持登录状态。
• 案例: 会话ID暴露在URL中，或者未设置HttpOnly和Secure属性，导致会话Cookie通过XSS攻击等方式被窃取。

4. 缺乏或薄弱的多因素认证（MFA） 📱

一把钥匙是不够的。

• 问题点: 重要账户未应用多因素认证（Multi-Factor Authentication, MFA），或者即使应用了，MFA代码也可以无限次尝试。
• 案例: 通过短信发送二次认证码的功能，但即使多次输入错误代码，仍可继续尝试，从而容易受到暴力破解攻击。

5. 缺乏账户锁定和速率限制 🚫

无限次尝试终将成功。

• 问题点: 登录尝试失败时没有锁定账户的功能，或者没有限制特定时间内登录尝试次数的功能（Rate Limiting）。攻击者可以利用这一点无限猜测登录信息，或者发现存在的账户。
• 案例: 在登录页面上，即使对特定ID尝试了100万次密码，账户也不会被锁定，IP地址也不会被阻止。

---

🛡️ 如何阻止它？（防御方法）

识别与认证失败是服务的第一个关卡，因此必须构建得最为坚固。

1. 强制执行强密码策略 🔐:

• 必须设置并强制执行最小长度、大小写字母、数字、特殊字符组合等复杂性要求。
• 必须与已泄露的密码列表（如HaveIBeenPwned API）进行比对，禁止使用。
• 密码必须使用加盐（Salt）的强哈希算法（如Bcrypt、Argon2等）进行存储。

1. 引入多因素认证（MFA） 📱✔️: 尽可能对所有重要账户强制或强烈建议使用多因素认证。（例如：OTP、短信认证、生物识别）
2. 应用账户锁定和速率限制 🚫⏰:

• 在一定次数的登录尝试失败后，必须锁定账户，或在一定时间内限制该IP地址/用户的登录尝试。
• 为避免暴露“用户ID不存在”等信息，登录失败时应始终显示通用错误消息（“用户名或密码不正确。”）。

1. 安全会话管理 🍪:

• 会话ID必须使用不可预测且随机性高的值。
• 在会话Cookie上设置Secure、HttpOnly标志，以防止通过XSS等方式被窃取。
• 注销时立即使会话失效，并适当设置会话过期时间。

1. 强化密码重置/恢复机制 🔒➡️✉️:

• 重置链接必须是一次性的，并具有较短的有效期。
• 应避免用户容易猜测的“安全问题”。
• 通过电子邮件或短信进行认证时，应应用速率限制以防止无限次尝试。

---

✨ 总结

识别与认证失败是所有攻击的起点，是一个极其重要的漏洞。无论我们的服务多么出色，如果第一个关卡不牢固，一切都将白费。从开发初期就设计和实现强大的认证机制，并持续检查和改进，这是必不可少的。

让我们把服务的门锁做得更坚固，并严格管理钥匙，以阻止黑客的入侵！🏡💪

标签: OWASP, A07, Authentication Failures, 识别, 认证, 密码安全, MFA, 会话管理, 账户盗用