ASP Security by Soroush Dalili - Intelligent Exploit

--استفاده از مدت زمان دوام اعتبار:‏ بايد يك مدت زماني نسبتا كوتاه براي حذف نشست هاي غيرفعال در سايت وجود داشته باشد و كاربر را از برنامه خارج كند.‏استفاده از توابع قدرتمند فرعي در سيستم اعتبار سنجي:‏ همانطور كه نام كاربري و رمز عبوراعتبار يك كاربر را تعيين مي كند،‏ سوالات و پاسخ هايي كه براي فراموش كردن رمز عبور يا ريست آنپرسيده ميشود نيز اعتبار كاربر را تعيين مي كند.‏لذا توابعمربوط به آن بايد امن و قدرتمند باشند.‏همچنين براي فاش نشدن داده هاي محرمانه كاربر،‏ از روش هاي درهم سازي يك طرفه براي اينپاسخها بايد استفاده كرد.‏هيچشناسه نشست يا هر قسمت ديگر اعتبارنامه هاي معتبر را به وسيله URLيا ثبت---وقايع فاش نكنيد:‏ هيچ گاه رمز عبور يا نشست كاربر را در ثبت وقايع ننويسيد.‏هميشه رمز عبور قديمي را هنگام تغيير رمز عبور از كاربر بخواهيد و آن را بررسي كنيد.‏هيچ گاه سيستم اعتبار سنجي را بر پايه اعتبارنامه هايي كه قابل كلاهبرداري هستند قرارندهيد:‏ مانند آدرس هاي ،IP ليستDNS 1يا ،Reverse DNS صفحات ارجاعي و نظاير آن.‏در مورد فرستادن اطلاعات محرمانه به آدرس هاي ايميل ثبت شده محتاط باشيد:‏هيچگاه-2ايميل شخص را به عنوان تنها فاكتور ريست رمز عبور قرار ندهيد . از رشته هاي تصادفي كه در زمانمحدودي فعال هستند براي دسترسي به تنظيم مجدد رمز عبور استفاده كنيد.‏ توجه كنيد كه چون يككاربر مي تواند آدرس ايميل خود را تغيير دهد،‏ قبل از تغيير آن رمز عبور را از وي بخواهيد و يا يكنامه به آدرس ايميل قبلي وي براي تاييد بفرستيد.‏1 Domain Name Server/Service2 http://ha.ckers.org/blog/20061109/email-as-half-factor-authentication119