设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15654] 2020-07-26_等保测评2.0：应用身份鉴别 ...
返回列表 发新帖
查看: 1|回复: 0

[15654] 2020-07-26_等保测评2.0：应用身份鉴别

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-07-26_等保测评2.0：应用身份鉴别 等 保 测 评 2 . 0 ： 应 用 身 份 鉴 别 起 于 凡 而 非 于 凡   F r e e B u f   2 0 2 0 - 0 7 - 2 6 1 .   说 明 说 明 本 篇 文 章 主 要 说 一 下 应 用 测 评 中 身 份 鉴 别 控 制 点 中 b 、 c 、 d 测 评 项 的 相 关 知 识 点 和 理 解 ， 以 及 高 风 险 判 定 方 面 的 内 容 。 注 ： 下 文 的 应 用 系 统 不 特 别 指 都 就 默 认 为 属 于 B / S 架 构 。 2 .   测 评 项 测 评 项 b ) 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ； c ) 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ； d ) 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 。 3 .   测 评 项 测 评 项 b b ) 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ； 3 . 1 .   登 录 失 败 锁 定 策 略 登 录 失 败 锁 定 策 略 这 个 主 要 靠 访 谈 、 测 试 ， 当 然 测 试 的 前 提 是 配 合 人 员 同 意 你 测 试 ， 不 要 随 便 新 建 账 户 或 者 用 别 人 给 你 的 账 户 测 试 。 如 果 存 在 这 个 功 能 ， 一 般 就 是 连 续 登 录 失 败 几 次 后 永 久 锁 定 或 者 锁 定 一 段 时 间 。 存 在 相 关 的 配 置 页 面 ， 就 在 配 置 页 面 截 图 取 证 ： 功 能 是 直 接 写 在 代 码 中 的 ， 最 好 还 是 测 试 一 下 ， 一 般 来 说 登 录 界 面 会 出 现 提 示 文 字 的 ： 3 . 2 .   超 时 退 出 超 时 退 出
存 在 这 个 功 能 的 ， 有 配 置 页 面 的 不 多 ： 一 般 都 是 在 代 码 中 或 者 配 置 文 件 中 （ 比 如 a s p . n e t 的 w e b . c o n f i g ） 实 现 ， 不 是 很 好 找 到 明 确 的 证 据 ， 最 好 还 是 实 际 试 验 下 。 比 如 中 午 休 息 前 登 录 ， 等 到 1 4 点 工 作 时 ， 刷 新 下 ， 看 看 是 否 已 经 注 销 。 4 .   测 评 项 测 评 项 c c ) 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ； 4 . 1 .   高 风 险 高 风 险 说 实 话 ， 这 个 以 前 我 是 不 测 的 ， 因 为 我 觉 得 它 和 传 输 保 密 性 的 要 求 重 合 了 。 但 是 最 新 版 高 风 险 判 定 指 引 （ 5 月 2 8 日 ， 下 同 ） 中 明 确 指 出 这 个 测 评 项 可 能 存 在 高 风 险 ： 那 就 最 好 测 一 测 ， 鉴 别 信 息 在 这 里 指 的 是 口 令 或 者 类 似 的 字 段 ， 那 么 实 际 上 就 是 看 口 令 是 否 加 密 传 输 。 4 . 2 .   H t t p s 协 议 协 议 首 先 查 看 这 个 网 站 是 否 使 用 了 H t t p s 协 议 ， 如 果 使 用 了 ， 则 自 然 就 符 合 。 不 过 如 果 使 用 H t t p s 协 议 ， 也 要 看 一 看 使 用 H t t p 前 缀 是 否 能 正 常 访 问 ， 有 些 网 站 没 有 做 好 配 置 ， 导 致 H t t p 和 H t t p s 都 可 以 访 问 。 4 . 3 .   传 输 口 令 的 传 输 口 令 的 H a s h 值 值 如 果 没 有 使 用 H t t p s 协 议 ， 那 就 看 是 否 在 前 端 对 口 令 进 行 了 加 密 。 在 登 录 界 面 ， 输 入 用 户 名 、 口 令 提 交 ， 然 后 查 看 提 交 的 参 数 是 什 么 ：
通 过 这 个 方 法 ， 如 果 你 发 现 口 令 字 段 不 是 明 文 ， 也 要 问 清 楚 其 加 密 的 方 法 ， 不 过 对 方 清 楚 的 概 率 不 大 。 你 可 以 输 入 一 个 简 单 的 口 令 ， 比 如 1 ， 然 后 拿 着 前 端 传 输 的 口 令 字 段 的 值 ， 随 便 去 一 个 在 线 加 密 网 站 对 比 下 ， 就 知 道 用 的 什 么 算 法 了 。 或 者 你 也 可 以 看 一 看 加 载 的 J s 文 件 的 内 容 ， 前 端 进 行 加 密 一 般 都 引 用 网 上 写 好 的 J s 文 件 ， 从 这 里 也 可 以 进 行 判 断 。 大 概 率 来 说 ， 如 果 前 端 加 密 ， 一 般 都 是 使 用 m d 5 算 法 计 算 出 口 令 的 h a s h 值 ， 然 后 再 进 行 传 输 。 如 果 前 端 传 输 口 令 h a s h 值 ， 而 后 端 数 据 库 存 储 的 也 仅 仅 只 有 口 令 的 h a s h 值 ， 鉴 别 的 方 法 就 是 对 比 前 端 传 入 的 h a s h 值 是 否 与 数 据 库 中 存 储 的 h a h s 值 一 致 。 在 这 种 情 况 下 ， 虽 然 前 端 传 输 的 并 非 口 令 明 文 ， 但 是 实 际 上 还 是 泄 露 了 鉴 别 信 息 。 这 个 时 候 ， 鉴 别 信 息 指 的 就 不 是 口 令 ， 而 是 口 令 的 h a s h 值 ， 此 时 ， 明 文 传 输 口 令 h a h s 值 就 是 明 文 传 输 鉴 别 信 息 。 如 果 别 人 截 取 到 口 令 的 h a s h 值 ， 虽 然 不 能 够 轻 易 获 得 原 文 ， 但 是 可 以 通 过 该 h a h s 值 和 用 户 名 通 过 应 用 系 统 的 鉴 别 。 当 然 ， 你 直 接 知 道 口 令 明 文 的 话 ， 就 可 以 通 过 登 录 界 面 得 到 口 令 h a s h 值 ， 还 是 同 样 泄 露 了 鉴 别 信 息 。 4 . 4 .   加 盐 加 盐 对 此 的 防 范 方 法 之 一 就 是 前 端 加 密 方 式 进 行 一 点 点 改 变 ， 比 如 加 盐 值 （ 字 符 串 ） 。 当 用 户 访 问 登 录 界 面 时 ， 后 端 生 成 一 个 随 机 盐 值 （ 随 机 字 符 串 ） ， 同 时 前 端 也 得 到 这 个 字 符 串 s a l t 。 此 时 ， 前 端 可 以 使 用 以 下 算 法 对 计 算 出 一 个 h a s h 值 ： 嗯 ， 当 然 ， 这 个 算 法 你 可 以 自 己 决 定 ， 根 据 实 际 情 况 进 行 嵌 套 使 用 ， 使 用 其 他 的 h a s h 算 法 都 是 可 以 的 。 然 后 当 这 个 h a s h 值 传 输 至 后 端 后 ， 数 据 库 中 存 储 的 是 M D 5 ( p a s s w o r d ) ， 后 端 也 有 那 个 随 机 盐 值 ， 也 可 以 使 用 同 样 的 算 法 算 出 一 个 h a s h 值 ， 进 行 对 比 ， 即 可 得 到 结 果 。 这 样 的 话 ， 别 人 截 取 到 了 这 个 h a s h 值 也 没 啥 用 ， 基 本 没 有 办 法 从 h a h s 值 逆 向 算 出 原 文 。 这 样 就 基 本 实 现 了 鉴 别 信 息 防 窃 听 的 要 求 。 4 . 5 .   其 他 办 法 其 他 办 法 比 如 使 用 t i m e s t a m p 方 案 、 n o n c e 方 案 或 者 两 者 都 结 合 的 形 式 ， 或 者 其 他 的 什 么 技 术 方 案 。 这 个 在 这 里 就 不 介 绍 了 ， 有 兴 趣 自 己 可 以 百 度 搜 索 学 习 下 。 其 实 到 了 这 一 步 的 话 ， 一 般 都 会 配 置 H t t p s 的 。 5 .   测 评 项 测 评 项 d d ) 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 。 5 . 1 .   刷 卡 验 证 刷 卡 验 证 某 些 系 统 （ 比 如 高 速 公 路 相 关 ） ， 会 在 使 用 用 户 名 、 口 令 验 证 的 同 时 ， 增 加 刷 卡 验 证 的 方 式 。 这 样 的 话 ， 双 因 素 肯 定 是 符 合 了 ， 但 是 刷 卡 验 证 是 不 是 使 用 了 密 码 技 术 ， 就 不 清 楚 了 ， 我 不 知 道 刷 卡 验 证 的 原 理 。 5 . 2 .   指 纹 验 证 指 纹 验 证 M D 5 ( M D 5 ( p a s s w o r d ) + M D 5 ( s a l t ) )
有 些 银 行 系 统 会 增 加 指 纹 验 证 的 方 式 ， 同 样 ， 符 合 双 因 素 ， 但 是 有 没 有 使 用 密 码 验 证 ， 不 清 楚 。 5 . 3 .   加 密 狗 加 密 狗 这 个 肯 定 算 符 合 ， 就 不 说 了 。 5 . 4 .   谷 歌 验 证 器 谷 歌 验 证 器 其 实 和 等 保 测 评 2 . 0 ： O r a c l e 身 份 鉴 别 （ 下 ） 中 5 . 2 节 介 绍 的 认 证 方 式 差 不 多 ， 谷 歌 验 证 码 生 成 的 时 间 间 隔 是 一 般 是 3 0 s 。 服 务 器 中 的 应 用 系 统 和 手 机 中 软 件 按 照 同 样 的 算 法 （ 当 然 还 包 括 密 钥 ） ， 同 时 计 算 出 某 个 验 证 码 ， 每 3 0 s 重 新 计 算 1 次 。 这 样 服 务 器 和 手 机 都 不 需 要 联 网 ， 直 接 对 比 算 出 的 值 就 可 以 了 ， 比 短 信 验 证 的 方 式 要 感 觉 要 好 一 些 。 5 . 5 .   高 风 险 高 风 险 3 级 系 统 ， 且 可 通 过 互 联 网 进 行 访 问 的 应 用 系 统 未 使 用 双 因 素 认 证 ， 可 判 定 为 高 风 险 。 这 里 说 明 下 ， 如 果 使 用 了 双 因 素 但 未 使 用 密 码 技 术 ， 不 算 高 风 险 ， 因 为 这 里 没 有 提 到 。 不 过 到 4 级 系 统 ， 如 果 不 使 用 密 码 技 术 ， 就 可 以 判 定 成 高 风 险 了 。 其 实 要 修 正 的 话 ， 要 么 是 属 于 内 网 、 专 网 系 统 ， 或 者 对 登 录 后 台 的 I p 地 址 进 行 了 限 制 。 或 者 使 用 了 两 次 以 上 的 认 证 ， 比 如 要 先 登 录 V P N ， 然 后 再 登 录 应 用 系 统 。 要 么 就 是 口 令 比 较 强 ， 也 可 以 酌 情 降 低 风 险 … … 6 .   高 风 险 判 定 高 风 险 判 定
6 . 1 .   写 不 写 判 定 理 由 写 不 写 判 定 理 由 现 在 我 们 主 要 根 据 最 新 版 的 高 风 险 判 定 指 引 进 行 高 风 险 项 的 判 定 。 其 实 我 在 写 报 告 的 时 候 一 直 有 些 疑 惑 ， 就 是 判 定 的 理 由 是 否 一 定 要 写 出 来 。 举 个 例 子 ： 从 上 图 可 以 看 出 ， 6 . 1 . 2 高 风 险 条 款 对 应 的 测 评 项 如 果 不 符 合 ， 但 物 理 环 境 可 控 的 话 ， 可 以 判 定 为 中 风 险 ， 这 是 没 有 什 么 疑 惑 的 。 但 是 这 里 有 两 个 思 路 ： 1 . 物 理 环 境 可 控 ， 不 属 于 满 足 条 件 a ， 可 以 直 接 判 定 为 中 风 险 ； 2 . 物 理 环 境 可 控 ， 属 于 补 偿 措 施 a ， 是 一 种 对 高 风 险 的 修 正 ， 所 以 我 需 要 把 修 正 的 过 程 体 现 出 来 。 按 照 思 路 1 ， 就 直 接 在 测 评 报 告 的 “ 表   5 - 1   安 全 问 题 风 险 分 析 表 ” 那 写 个 中 风 险 的 结 果 ， 不 需 要 在 报 告 中 体 现 判 定 的 理 由 ； 按 照 思 路 2 ， 就 需 要 在 测 评 报 告 的 “ 整 体 测 评 结 果 分 析 ” 那 把 这 个 理 由 写 出 来 ， 也 就 是 修 正 （ 从 高 降 到 中 ） 。 还 有 一 类 高 风 险 项 ， 满 足 条 件 和 措 施 有 不 重 合 的 地 方 ， 比 如 4 . 5 . 1 的 b 项 ， 假 如 属 于 补 偿 措 施 的 b 项 中 描 述 的 情 况 ， 那 肯 定 要 把 这 个 理 由 写 出 来 ， 这 个 没 什 么 疑 惑 的 ：
为 什 么 纠 结 判 定 理 由 写 不 写 呢 ？ 因 为 高 风 险 判 定 是 报 告 抽 查 时 的 红 线 ， 而 判 定 指 引 中 有 不 少 测 评 项 的 满 足 条 件 和 补 偿 措 施 是 重 合 的 。 如 果 你 因 为 测 评 项 的 结 果 不 满 足 某 个 满 足 条 件 ， 所 以 直 接 判 定 成 中 风 险 ， 到 时 候 检 查 你 报 告 的 人 没 有 g e t 到 你 的 思 路 那 咋 办 … … 所 以 理 论 上 这 种 情 况 是 可 写 可 不 写 ， 不 过 好 像 最 好 还 是 都 写 清 楚 比 较 好 。 6 . 2 .   怎 么 写 怎 么 写 两 种 方 法 ， 一 种 在 测 评 项 的 结 果 记 录 中 直 接 把 修 正 的 理 由 给 写 了 ， 比 如 ： 未 能 够 对 非 授 权 设 备 私 自 联 到 内 部 网 络 的 行 为 进 行 检 查 或 限 制 ， 但 重 点 区 域 出 入 控 制 严 格 ， 非 受 权 人 员 访 问 重 要 区 域 有 专 人 陪 同 等 措 施 。 另 外 一 种 就 是 放 在 整 体 测 评 中 进 行 描 述 。 后 来 某 位 网 友 给 的 意 见 是 如 果 修 正 的 理 由 涉 及 到 整 体 测 评 ， 比 如 “ 未 能 对 非 法 内 联 进 行 检 查 或 限 制 ， 但 物 理 可 控 “ 这 种 情 况 。 就 属 于 层 面 间 的 修 正 ， 应 该 再 整 体 测 评 中 进 行 描 述 。 而 如 果 修 正 的 理 由 和 控 制 间 、 区 域 间 、 层 面 间 没 啥 关 系 的 话 ， 就 直 接 在 测 评 项 中 进 行 描 述 ， 比 如 ： 如 果 L i n u x 等 非 W i n d o w s 的 系 统 没 有 部 署 防 恶 意 代 码 软 件 ， 可 以 通 过 补 偿 措 施 的 a 项 进 行 修 正 。 这 个 就 是 控 制 间 、 区 域 间 、 层 面 间 没 有 啥 关 系 了 ， 还 不 如 直 接 在 测 评 项 的 结 果 记 录 中 直 接 描 述 。 对 于 这 种 类 型 的 修 正 理 由 ， 感 觉 理 论 上 还 可 以 不 在 测 评 项 、 整 体 测 评 中 描 述 ， 直 接 放 在 表   4   1 修 正 后 的 安 全 问 题 汇 总 表 中 ：
测 评 报 告 的 两 个 基 础 是 资 产 表 、 记 录 表 。 调 研 得 到 资 产 表 ， 从 资 产 表 中 选 择 测 评 对 象 ， 然 后 进 行 测 评 得 到 记 录 表 。 然 后 再 对 记 录 表 中 数 据 进 行 分 析 ， 得 到 其 他 的 一 系 列 表 格 和 最 终 结 论 。 虽 然 资 产 表 里 体 现 了 操 作 系 统 是 l i n u x ， 但 是 没 在 记 录 表 里 体 现 ， 直 接 放 进 表   4   1 修 正 后 的 安 全 问 题 汇 总 表 中 ， 感 觉 不 太 好 ， 有 点 非 主 流 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:16 , Processed in 0.762227 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表