认证与会话管理

密码的那些事儿

• 密码策略
  • 密码长度：普通应用要求长度6位以上；重要应用要求长度为8位以上，并考虑双因素认证。
  • 密码复杂度方面：面膜区分大小写字母；密码为大小写字母、小写字母、数字、特殊符号中两种以上的组合；不要有连续性的字符，比如1234abcd；尽量避免出现重复的字符。
  • 密码必须以不可逆的加密算法，或者是单向散列函数算法，加密后存储在数据库中。

多因素认证

session与认证

• 生成SessionID时，需要保证求购的随机性，比如采用足够强的伪随机数生成算法，现在的网站开发中，都有很多成熟的开发框架可以使用，这些成熟的开发框架一般会提供Cookie管理、Session管理的函数，可以善用这些函数和功能。

Session Fixation攻击

Session 保持攻击

• 一般应用都会给session设置一个失效时间，但有一些系统，出于用户体验的考虑，只要用户还“活着”，就不会让这个用户的Session失效，从而攻击者可以通过不停地发起访问请求，让Session一直“活”下去
• 对抗Session 保持攻击：一定时间后，强制销毁Session，还可以，检查http信息，如果发生变化，则销毁Session，要求用户重新登陆。

单点登陆（SSO）

• OpenID模式仍然存在一些问题，OpenID的提供者服务水平也有高有低，作为OpenID的提供者，一旦网站中断服务或者关闭，都将给用户带来很多的不便，因此目前不部分网站仍是很谨慎的使用OpenID。