 描述
使用单因素身份验证可以导致不必要的妥协的风险相比,一个指定的身份验证方案的好处。
扩展描述
同时使用多个身份验证方案只是累积更多的复杂性上的身份验证,它是无价地有价值有这样的冗余措施。弱的使用、重用和常见的密码是猖獗的在互联网上。没有添加保护多个身份验证方案,一个错误会导致一个帐户的妥协。出于这个原因,如果多个方案,也易于使用,他们应该和需要实现的。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关观点“软件开发”(cwe - 699)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1211年 |
身份验证错误 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
 相关视图”架构概念”(cwe - 1008)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1010年 |
验证的演员 |
模式的介绍
不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
| 阶段 |
请注意 |
| 架构和设计 |
委员会:这个弱点是指一个不正确的设计与架构相关的安全策略。 |
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
访问控制
|
如果在单因素身份验证方案的秘密被泄露,完整的身份验证是可能的。 |
|
利用的可能性
示范例子
示例1
在这两个例子中,一个用户是否登录,如果他们给密码匹配存储密码:
unsigned char * check_passwd (char *明文){
ctext = simple_digest (sha1,明文,strlen(明文),…);
/ /登录如果哈希匹配存储散列
如果(等于(ctext secret_password ())) {
login_user (); } }
字符串明文=新的字符串(plainTextIn); MessageDigest ence = MessageDigest.getInstance (SHA); encer.update (plainTextIn); byte[]消化= password.digest ();
/ /登录如果哈希匹配存储散列
如果(平等(消化,secret_password ())) {
login_user (); }
这段代码只依赖一个密码机制(cwe - 309)使用只有一个因素身份验证(cwe - 308)。如果攻击者可以窃取或猜测用户的密码,他们给出了完全访问帐户。注意这段代码还使用sha - 1,这是一个弱散列(cwe - 328)。它还不使用盐(cwe - 759)。
潜在的缓解措施
阶段:体系结构和设计
使用多个独立的身份验证方案,确保——如果被破坏的方法之一——系统本身仍有可能远离妥协。 |
分类法映射
| 映射分类名称 |
节点ID |
适合 |
映射节点名 |
| 扣 |
|
|
使用单因素身份验证 |
引用
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关视图”架构概念”(cwe - 1008)
