La connexion est une traduction invalide. Comment installer BeEF sur Linux Mint ou Ubuntu. Résoudre l'ERREUR : problème de nom d'utilisateur ou de mot de passe invalide

Oui, doublez-le si vous disposez d'un moyen de soumission sans formulaire pour vérifier l'existence de l'utilisateur, par ex. /user/:user/ comme itinéraire.

Merci d'avoir corrigé cette désinformation dans mon esprit.

Hé, après un examen de sécurité indépendant, nous sommes obligés d'aller encore plus loin ;
Nous bloquons les utilisateurs pendant cinq minutes après trois tentatives de connexion invalides. Nous ne sommes plus autorisés à informer les utilisateurs qu'ils ont été bloqués. Ainsi, même s'ils se souviennent de leur mot de passe (ou même effectuent une réinitialisation), nous devons simplement leur dire que leur uid/pwd est erroné lorsqu'ils essaient de se connecter. Et pour « mot de passe oublié » ? Dites simplement à l'utilisateur « nous vous avons envoyé un e-mail – SI nous avons reconnu l'e-mail que vous avez entré ».

Quant à la limitation des taux ; Bien le faire peut représenter beaucoup de travail. J'ai simplement mis un délai artificiel d'une seconde dans toute réponse où l'uid ou le mot de passe était erroné. Suffisamment court pour ne pas gêner les vrais utilisateurs, suffisamment long pour empêcher efficacement les attaques par force brute. Et même si quelqu’un essayait la force brute, la surveillance le détecterait bien avant qu’il n’essaye un nombre significatif de combinaisons.

J'avais récemment cette discussion avec un collègue et aucun de nous n'a pensé au fait que le processus d'inscription saigne ces informations de toute façon !

Je ne suis pas d'accord avec l'ajout de l'authentification à deux facteurs comme recommandation générale en dehors des données très sensibles. (D’un autre côté, il est épouvantable qu’aucune des banques ou institutions financières avec lesquelles j’ai travaillé n’autorise même l’authentification à deux facteurs.)

J'ai mis en œuvre cela comme vous le suggérez en envoyant l'e-mail dans un sens ou dans l'autre et en ne divulguant pas l'existence du compte. Pour moi, c'était une question de confidentialité, car il s'agissait d'un site d'offres d'emploi, et nous voulions être sensibles à la vie privée des demandeurs d'emploi.

En plus des préoccupations concernant l'exposition d'adresses e-mail sensibles pour les inscriptions à des services qui pourraient avoir des répercussions plus importantes (hé, je viens de m'inscrire sur un site Web subversif !), l'autre chose est que vous ne devriez pas autoriser les gens à créer un compte sans confirmant ce compte – je ne devrais pas pouvoir vous inscrire chaque semaine aux fascistes sans confirmation que je suis réellement posséder le vôtre adresse email.

Les e-mails sont publics individuellement, mais la corrélation entre les e-mails et les comptes sur certains sites Web peut constituer une information sensible. Par exemple, certaines personnes seraient très intéressées par les adresses email associées aux marchés clandestins.

Ne divulguez donc pas d'adresses e-mail à moins que vous ne soyez prêt à faire un choix pour vos utilisateurs sur les compromis de sécurité des utilisateurs connus de votre service à plus grande échelle, et attendez-vous à ce que vos utilisateurs qui ont partagé des mots de passe entre sites s'en sortent bien. leurs comptes étant trivialement compromissifs sur une courte période. (AKA, chaque fois que quelqu'un déchiffre/découvre un mot de passe, attendez-vous à ce qu'il essaie ce mot de passe partout où le nom d'utilisateur est confirmé). Si vous stockez des informations sensibles ou des informations susceptibles d’être utilisées pour compromettre d’autres comptes, il est préférable de ne pas associer ces noms d’utilisateur à votre service. Découvrez le flux de compromissions de service de Mat Honen pour conduire à la propriété de son compte Twitter.

L’objectif n’est pas de ne pas être propriétaire, mais d’augmenter le coût de l’attaque, et s’assurer que les attaquants ne peuvent pas identifier vos utilisateurs augmente ce coût.

Les Honeypots sont également très utiles pour détecter les comportements malveillants et ont très peu de répercussions sur les utilisateurs réels.

Notez que si vous optez pour la limitation du débit, veillez à ne pas l'implémenter de telle manière qu'une personne malveillante puisse facilement verrouiller l'accès du propriétaire légitime du compte en envoyant des tentatives de connexion spammées.

Cela n'est pas inutile si vous disposez d'une limitation de débit et d'une surveillance de sécurité différentes pour la connexion et l'enregistrement des nouveaux utilisateurs.

La banque dans laquelle je travaille en est un excellent exemple. La création d'un compte est un processus lourd avec plusieurs contrôles, et nous ne voulons PAS divulguer d'informations sur les comptes existants à toute personne capable de tenter de se connecter.

Mec, merci d'avoir posté ceci et d'avoir « corrigé cette désinformation dans l'esprit ».

Je ris de voir à quel point ce raisonnement est largement répandu parmi les développeurs qui pensent savoir ce qu'ils font (comme moi, après avoir fait valoir cet argument aux clients et aux personnes UX) et pourtant, ils n'ont jamais réfléchi à deux fois à la page d'inscription !

Les idées reçues brisées… Bel article !

Excellent article – je suis entièrement d’accord. Question : des conseils pour « permettre une intégration facile avec LastPass ou 1Password » ?

Cette page d'aide Wikipédia est obsolète. Veuillez mettre à jour cette page d'aide Wikipédia pour refléter les événements récents ou les informations nouvellement disponibles. Veuillez consulter la page de discussion pour plus d'informations. L'utilisateur peut personnaliser les polices, les couleurs, les positions des liens dans le... ... Wikipédia

Authentification d’accès Digest- Persistance HTTP · Compression · Méthodes de requête HTTPS OPTIONS · GET · HEAD · POST · PUT · DELETE · TRACE · CONNECT Champs d'en-tête Cookie · ETag · Localisation · Referer DNT · … Wikipedia

Injection de code- est l'exploitation d'un bug informatique provoqué par le traitement de données invalides. L'injection de code peut être utilisée par un attaquant pour introduire (ou injecter) du code dans un programme informatique afin de modifier le cours de son exécution. Les résultats d’une injection de code… … Wikipédia

Identifiant Windows Live- Un exemple de page de connexion Windows Live ID Type d'authentification unique… Wikipédia

Techniques anti-spam- Pour éviter le spam par courrier électronique (c'est-à-dire le courrier électronique en masse non sollicité), les utilisateurs finaux et les administrateurs des systèmes de messagerie utilisent diverses techniques anti-spam. Certaines de ces techniques ont été intégrées dans des produits, services et logiciels pour alléger le fardeau des utilisateurs... ... Wikipedia

Techniques anti-spam (e-mail)- Pour éviter le spam par courrier électronique, les utilisateurs finaux et les administrateurs des systèmes de messagerie utilisent diverses techniques anti-spam. Certaines de ces techniques ont été intégrées dans des produits, services et logiciels pour alléger la charge des utilisateurs et des administrateurs. Personne... ... Wikipédia

CHAUSSETTES- est un protocole Internet qui permet aux applications client-serveur d'utiliser de manière transparente les services d'un pare-feu réseau. SOCKS est l'abréviation de SOCKetS [ ]… … Wikipédia

Adresse email- Une adresse e-mail identifie un emplacement auquel les messages e-mail peuvent être envoyés. Sur l'Internet moderne, une adresse e-mail ressemble, par exemple, à : [email protégé] et est généralement lu comme jsmith dans l'exemple point com . De nombreux systèmes de messagerie antérieurs… Wikipédia

Privilège (informatique)- En informatique, le privilège est défini comme la délégation d'autorité sur un système informatique. Un privilège est une autorisation d'effectuer une action. Des exemples de divers privilèges incluent la possibilité de créer un fichier dans un répertoire, ou de lire ou supprimer un… Wikipédia

Mot de passe- Pour d'autres utilisations, voir Mot de passe (homonymie). Un mot de passe est un mot secret ou une chaîne de caractères utilisé pour l'authentification, pour prouver son identité ou accéder à une ressource (exemple : un code d'accès est un type de mot de passe). Le mot de passe... ... Wikipédia

à propos du schéma d'URI- à propos de : des redirections vierges ici. Pour la variante du logiciel espion aboutblank , voir CoolWebSearch#Variants. À propos : redirige ici. Pour d'autres utilisations, voir à propos de ; pour la page à propos de Wikipédia, voir Wikipédia : à propos. about est un schéma d'URI interne (également connu sous le nom d'URL... Wikipédia