Níže nabízím překlad z Home > Stable > 4-Web Application Security Testing > 04-Authentication Testing > Testing for Weak Password Policy.
Shrnutí
Nejběžnějším a nejsnadněji spravovaným autentizačním mechanismem je statické heslo. Heslo představuje klíč ke království, ale často je uživateli obcházeno ve jménu použitelnosti. U každého z nedávných známých hacků, které odhalily uživatelské přihlašovací údaje, bylo zjištěno, že nejčastější hesla jsou stále: 123456, password a qwerty.
Cíle testu
- Určit odolnost aplikace vůči útokům hrubou silou pomocí hádání hesel z dostupných slovníků tím, že se vyhodnotí délka, složitost, opakované použití a časové omezení platnosti hesel.
Jak testovat
- Jaké znaky jsou povoleny a zakázány pro použití v hesle? Je uživatel povinen používat znaky z různých znakových sad, jako jsou malá a velká písmena, číslice a speciální symboly?
- Jak často může uživatel změnit své heslo? Jak rychle může uživatel změnit své heslo po předchozí změně? Uživatelé mohou obejít požadavky na historii hesel tím, že změní své heslo 5krát po sobě, takže po poslední změně hesla mají opět své původní heslo.
- Kdy musí uživatel změnit své heslo?
- Jak často může uživatel znovu použít heslo? Uchovává aplikace historii uživatelem použitých 8 hesel?
- Jak odlišné musí být nové heslo od posledního hesla?
- Je uživateli zabráněno používat jeho uživatelské jméno nebo jiné informace o účtu (například křestní nebo příjmení) v hesle?
- Jaké jsou minimální a maximální délky hesel, které mohou být nastaveny, a jsou vhodné pro citlivost účtu a aplikace?
- Je možné nastavit běžná hesla, jako jsou Password1 nebo 123456?
Náprava
Pro zmírnění rizika snadno odhadnutelných hesel, která umožňují neoprávněný přístup, existují dvě řešení: zavést další autentizační ovládací prvky (např. dvoufaktorovou autentizaci) nebo zavést silnou politiku hesel. Nejsnazší a nejlevnější z těchto možností je zavedení silné politiky hesel, která zajistí délku, složitost, opakované použití a časové omezení platnosti hesel; ideálně by však měly být implementovány obě možnosti.