OWASP A07:2021 – Identification and Authentication Failuresについて個人用にメモする。
※かなり以前にまとめたもの

概要

説明

多要素認証を実装し、次の攻撃を防止する。
- クレデンシャルスタッフィング(インターネット上に流出したIDとパスワードの組み合わせを使って、他のWebサイトへのログインを自動的に試みる攻撃)
- ブルートフォース
- 盗まれたクレデンシャル再利用攻撃
管理者ユーザーの資格情報をデフォルトのままデプロイしない。
パスワードチェック処理の実装
- 新規または変更されたパスワードを上位10,000の最悪のパスワードリストと照合してチェックする、など。
パスワードの長さ、複雑さ、およびローテーションポリシーをNIST800-63bのガイドラインに合わせる。
ログイン処理の結果に、同じメッセージを使用する(アカウント列挙攻撃対策)
ログイン試行を制限もしくは再試行にウェイトを設ける。すべてのログイン試行失敗をログに記録し、管理者にアラートを通知する。
ログイン後にエントロピーの高い新しいランダムセッションIDを生成する、サーバー側の安全な組み込みセッションマネージャーを使用する。
- セッションIDは、URLに含めず、安全に保存し、ログアウト、タイムアウト後などに無効にする。

クレデンシャルスタッフィング攻撃(既知のパスワードリストの使用)対策していない場合

→ アプリケーションをクレデンシャルリストの有効性確認に利用されてしまう。

アプリケーションセッションのタイムアウトが正しく設定されていない場合。
1. ユーザーは、公共のコンピューターを使用してアプリケーションにアクセスする
2. 「ログアウト」を選択する代わりに、ユーザーはブラウザのタブを閉じて立ち去る
3. 攻撃者は1時間後に同じブラウザを使用しますが、ユーザーは引き続き認証される