如何保护你的认证机制

在本节中，我们将讨论如何防范在你的认证机制中出现我们讨论过的一些漏洞。

认证是一个复杂的主题，正如我们已经证明的那样，很遗憾，弱点和缺陷很容易产生。明确列出所有可能的措施来保护你自己的网站显然是不可能的。然而，有几个通用原则你应该始终遵循。

谨慎处理用户凭证

如果你无意中向攻击者泄漏了一组有效的登录凭证，那么即使是最强大的认证机制也是无效的。不言而喻，你绝不能在未加密的连接上发送任何登录数据。尽管你可能已经为登录请求实现了HTTPS，但确保通过将任何尝试的HTTP请求重定向到HTTPS来强制执行这一点。

你还应该对你的网站进行审计，确保没有用户名或电子邮件地址通过公开可访问的个人资料或在HTTP响应中反映出来。

不要依赖用户的安全

严格的认证措施通常需要用户付出一些额外的努力。人性使得一些用户几乎不可避免地找到方法来节省这些努力。因此，你需要在可能的情况下强制执行安全行为。

最明显的例子是实现有效的密码策略。一些传统的策略失败是因为人们把自己可预测的密码硬塞进策略中。相反，实现某种简单的密码检查器可能更加有效，它允许用户尝试密码并实时提供有关密码强度的反馈。一个流行的例子是由Dropbox开发的JavaScript库zxcvbn。通过仅允许密码检查器评级较高的密码，你可以比使用传统策略更有效地强制使用安全密码。

防止用户名枚举

如果你透露了用户在系统中的存在，攻击者就更容易破坏你的认证机制。甚至在某些情况下，由于网站的性质，知道某个特定用户拥有一个帐户本身就是敏感信息。

无论尝试的用户名是否有效，重要的是使用相同的通用错误信息，并确保它们确实相同。你应始终使为每个登录请求返回相同的HTTP状态码，最后，使不同情况的响应时间尽可能难以区分。

实现强大的暴力破解保护

鉴于构造暴力破解攻击的简单性，确保采取措施来防止或至少干扰任何暴力破解登录尝试是至关重要的。

其中一种更有效的方法是实现基于IP的用户速率限制。这应该包括防止攻击者操纵其表面IP地址的措施。理想情况下，你应该要求用户在达到一定限制后的每次登录尝试都要完成一个验证码测试。

请记住，这并不能完全消除暴力破解的威胁。然而，使该过程尽可能繁琐和手动化，会增加任何潜在攻击者放弃并转而寻找更脆弱目标的可能性。

三重检查你的验证逻辑

正如我们的实验所证明的那样，在代码中很容易出现简单的逻辑缺陷，这些缺陷在认证的情况下可能会完全破坏你的网站和用户。彻底审计任何验证或验证逻辑以消除缺陷，对于健壮的认证至关重要。可以绕过的检查，最终并没有比没有检查更好。

不要忽视附加功能

确保不要只关注核心登录页面，而忽视与认证相关的附加功能。这在攻击者可以自由注册自己的帐户并探索这些功能的情况下尤其重要。记住，密码重置或更改与主要登录机制一样是有效的攻击面，因此必须同样健壮。

实现适当的多因素认证

虽然多因素认证可能不适用于每个网站，但如果操作得当，它会比仅基于密码的登录更安全。请记住，验证同一因素的多个实例并不是真正的多因素认证。通过电子邮件发送验证码本质上只是一种更冗长的单因素认证形式。

基于短信的双因素认证在技术上验证了两个因素（你所知道的和你所拥有的）。然而，通过SIM卡交换等方式进行滥用的可能性，意味着这一系统可能不可靠。

理想情况下，双因素认证应使用直接生成验证码的专用设备或应用程序来实现。由于它们专为提供安全性而构建，因此通常更安全。

最后，与主要的认证逻辑一样，确保你的双因素认证检查中的逻辑是可靠的，以便不会被轻易绕过。