Authentication and session manageme

Authentication and session management includes all aspects of handling user authentication and managing active sessions. While authentication itself is critical aspect to secure, even solid authentication mechanisms can be undermined by flawed credential management functions, including password change, "forgot my password", "remember my password", account update, and other related functions. Because "walk by" attacks are likely for many web applications, all account management functions should require re-authentication even if the user has a valid session id, in case an attacker has discovered a session where the original user has failed to log out.

User authentication on the web typically involves the use of a userid and password. Stronger methods of authentication are commercially available such as software and hardware based cryptographic tokens or biometrics, but such mechanisms are cost prohibitive for most web applications. A wide array of account and session management flaws can result in the compromise of user or system administration accounts. Development teams frequently underestimate the complexity of designing an authentication and session management scheme that adequately protects credentials in all aspects of the site.

Web applications must establish sessions to keep track of the stream of requests from each user. HTTP does not provide this capability, so web applications must create it themselves. Frequently, the web application environment provides a session capability, but many developers prefer to create their own session tokens. In either case, if the session tokens are not properly protected, an attacker can hijack an active session and assume the identity of a user. Creating a scheme to create strong session tokens and protect them throughout their lifecycle has proven elusive for many developers.

Unless all authentication credentials and session identifiers are protected with SSL at all times and protected against disclosure from other flaws, such as cross site scripting, an attacker can hijack a user's session and assume their identity.

ผลลัพธ์ (ไทย) 2:

การตรวจสอบและการจัดการเซสชั่นรวมถึงทุกแง่มุมของการจัดการตรวจสอบผู้ใช้และการจัดการการใช้งาน ในขณะที่การตรวจสอบตัวเองเป็นสิ่งที่สำคัญเพื่อความปลอดภัยแม้กลไกการตรวจสอบที่มั่นคงสามารถทำลายโดยสมบูรณ์ฟังก์ชันการจัดการข้อมูลประจำตัวรวมทั้งการเปลี่ยนรหัสผ่าน "ลืมรหัสผ่านของฉัน", "จำรหัสผ่านของฉัน" การปรับปรุงบัญชีและฟังก์ชั่นอื่น ๆ ที่เกี่ยวข้อง เพราะ "เดินด้วย" การโจมตีจะมีโอกาสสำหรับการใช้งานเว็บหลายฟังก์ชั่นการจัดการบัญชีควรจะต้องมีการตรวจสอบอีกครั้งแม้ว่าผู้ใช้จะมีหมายเลขของเซสชั่นที่ถูกต้องในกรณีที่ผู้โจมตีได้ค้นพบเซสชั่นที่ผู้ใช้เดิมล้มเหลวในการออกจากระบบตรวจสอบผู้ใช้บนเว็บมักจะเกี่ยวข้องกับการใช้หมายเลขผู้ใช้และรหัสผ่าน วิธีการที่แข็งแกร่งของการตรวจสอบที่มีอยู่ในเชิงพาณิชย์เช่นซอฟต์แวร์และฮาร์ดแวร์ที่ใช้การเข้ารหัสสัญญาณหรือชีวภาพ แต่กลไกดังกล่าวมีค่าใช้จ่ายที่ต้องห้ามสำหรับการใช้งานบนเว็บมากที่สุด หลากหลายของบัญชีและการจัดการเซสชั่นข้อบกพร่องจะส่งผลในการประนีประนอมของผู้ใช้หรือระบบบัญชีบริหาร ทีมพัฒนาบ่อยประมาทความซับซ้อนของการออกแบบการตรวจสอบและเซสชั่นรูปแบบการบริหารจัดการที่เพียงพอที่ปกป้องสิทธิในทุกด้านของเว็บไซต์ที่ใช้งานเว็บต้องสร้างการประชุมเพื่อติดตามกระแสของการร้องขอจากผู้ใช้แต่ละคน HTTP ไม่ได้ให้ความสามารถในการนี้เพื่อให้การใช้งานเว็บต้องสร้างมันขึ้นมาเอง ที่พบบ่อย, สภาพแวดล้อมที่ใช้เว็บให้ความสามารถในเซสชั่น แต่นักพัฒนาจำนวนมากต้องการที่จะสร้างสัญญาณเซสชั่นของตัวเอง ในทั้งสองกรณีถ้าสัญญาณเซสชั่นที่ไม่ได้รับการคุ้มครองอย่างถูกต้องโจมตีสามารถจี้เซสชั่นการใช้งานและสมมติตัวตนของผู้ใช้ การสร้างโครงการที่จะสร้างสัญญาณเซสชั่นที่แข็งแกร่งและปกป้องพวกเขาตลอดวงจรชีวิตของพวกเขาได้รับการพิสูจน์แล้วเข้าใจยากสำหรับนักพัฒนาจำนวนมากนอกจากการตรวจสอบข้อมูลประจำตัวและระบุที่เซสชั่นได้รับการคุ้มครองด้วย SSL ตลอดเวลาและป้องกันการเปิดเผยจากข้อบกพร่องอื่น ๆ เช่น Cross Site สคริปต์ โจมตีสามารถจี้เซสชั่นของผู้ใช้และถือว่าเป็นตัวตนของพวกเขา

ผลลัพธ์ (ไทย) 3:

การตรวจสอบและการจัดการเซสชันรวมถึงทุกด้านของการจัดการการตรวจสอบผู้ใช้และการจัดการเซสชันที่ใช้งานอยู่ ในขณะที่การตรวจสอบด้านความปลอดภัยของตัวเองเป็นสำคัญ แม้กลไกการตรวจสอบของแข็งสามารถทำลายโดยฟังก์ชันการจัดการข้อมูลที่สมบูรณ์ รวมถึงการเปลี่ยนรหัสผ่าน " ลืมรหัสผ่าน " , " จำรหัสผ่านของฉัน " , ปรับปรุงบัญชี , และหน้าที่อื่น ๆที่เกี่ยวข้องเพราะ " เดินตาม " การโจมตีมีโอกาสสำหรับเว็บหลายฟังก์ชันการจัดการบัญชีผู้ใช้ทั้งหมดควรจะต้องตรวจสอบอีกครั้งแม้ว่าผู้ใช้ที่มี ID ช่วงที่ถูกต้อง ในกรณีที่ผู้โจมตีได้ค้นพบเซสชันที่ผู้ใช้เดิมได้ล้มเหลวที่จะออกจากระบบ

ผู้ใช้ตรวจสอบบนเว็บมักจะเกี่ยวข้องกับการใช้หมายเลขผู้ใช้และ รหัสผ่านวิธีการที่แข็งแกร่งของการตรวจสอบที่มีอยู่ในเชิงพาณิชย์ เช่น ซอฟต์แวร์และฮาร์ดแวร์ที่ใช้โทเค็นรหัสลับหรือชีวภาพ แต่กลไกดังกล่าวมีต้นทุน prohibitive สำหรับการใช้งานเว็บมากที่สุด อาร์เรย์ที่กว้างของข้อบกพร่องบัญชีและการจัดการเซสชันสามารถส่งผลในการประนีประนอมของผู้ใช้หรือระบบบัญชีบริหารทีมพัฒนามักประมาทความซับซ้อนของการออกแบบการตรวจสอบและรูปแบบการจัดการเซสชันที่ความคุ้มครองสิทธิในทุกด้านของเว็บไซต์ การใช้งานเว็บ

ต้องสร้างเซสชันเพื่อติดตามกระแสของการร้องขอจากผู้ใช้แต่ละคน ที่ไม่ได้มีความสามารถนี้ ดังนั้นการใช้งานเว็บต้องสร้างมันด้วยตัวเอง บ่อยเว็บโปรแกรมสิ่งแวดล้อมให้เซสชันความสามารถ แต่นักพัฒนาจำนวนมากชอบที่จะสร้างโทเค็นเซสชันของพวกเขาเอง ในทั้งสองกรณีถ้าช่วงสัญญาณที่ไม่ได้ป้องกันอย่างถูกต้อง ผู้โจมตีสามารถจี้เป็นเซสชันการใช้งานและยอมรับตัวตนของผู้ใช้การสร้างโครงการที่จะสร้างโทเค็นเซสชันที่แข็งแกร่งและปกป้องพวกเขาตลอดวงจรชีวิตของพวกเขาได้พิสูจน์ยากสำหรับนักพัฒนามากมาย

ยกเว้นทั้งหมดข้อมูลการตรวจสอบและระบุเซสชัน มีการป้องกันด้วย SSL ตลอดเวลาและป้องกันการเปิดเผยข้อมูลจากข้อบกพร่องอื่น ๆเช่นการเขียนสคริปต์ข้ามไซต์ที่ผู้โจมตีสามารถจี้เซสชันของผู้ใช้และสมมติตัวตนของพวกเขา