ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
--استفاده از مدت زمان دوام اعتبار: بايد يك مدت زماني نسبتا كوتاه براي حذف نشست هاي غيرفعال در سايت وجود داشته باشد و كاربر را از برنامه خارج كند.استفاده از توابع قدرتمند فرعي در سيستم اعتبار سنجي: همانطور كه نام كاربري و رمز عبوراعتبار يك كاربر را تعيين مي كند، سوالات و پاسخ هايي كه براي فراموش كردن رمز عبور يا ريست آنپرسيده ميشود نيز اعتبار كاربر را تعيين مي كند.لذا توابعمربوط به آن بايد امن و قدرتمند باشند.همچنين براي فاش نشدن داده هاي محرمانه كاربر، از روش هاي درهم سازي يك طرفه براي اينپاسخها بايد استفاده كرد.هيچشناسه نشست يا هر قسمت ديگر اعتبارنامه هاي معتبر را به وسيله URLيا ثبت---وقايع فاش نكنيد: هيچ گاه رمز عبور يا نشست كاربر را در ثبت وقايع ننويسيد.هميشه رمز عبور قديمي را هنگام تغيير رمز عبور از كاربر بخواهيد و آن را بررسي كنيد.هيچ گاه سيستم اعتبار سنجي را بر پايه اعتبارنامه هايي كه قابل كلاهبرداري هستند قرارندهيد: مانند آدرس هاي ،IP ليستDNS 1يا ،Reverse DNS صفحات ارجاعي و نظاير آن.در مورد فرستادن اطلاعات محرمانه به آدرس هاي ايميل ثبت شده محتاط باشيد:هيچگاه-2ايميل شخص را به عنوان تنها فاكتور ريست رمز عبور قرار ندهيد . از رشته هاي تصادفي كه در زمانمحدودي فعال هستند براي دسترسي به تنظيم مجدد رمز عبور استفاده كنيد. توجه كنيد كه چون يككاربر مي تواند آدرس ايميل خود را تغيير دهد، قبل از تغيير آن رمز عبور را از وي بخواهيد و يا يكنامه به آدرس ايميل قبلي وي براي تاييد بفرستيد.1 Domain Name Server/Service2 http://ha.ckers.org/blog/20061109/email-as-half-factor-authentication119