Typowe logowanie zbiera nazwę użytkownika i hasło, ale dane logowania mogą zamiast tego obejmować certyfikat, passkey, klucz bezpieczeństwa, hasło jednorazowe lub inny uwierzytelnik. Niektóre komponenty identyfikują konto; inne dowodzą kontroli nad nim.
Komponenty wymagają różnego traktowania. Nazwa użytkownika często nie jest tajna; hasło jest współdzielonym sekretem; a passkey dowodzi posiadania klucza prywatnego bez wysyłania go do usługi. Pomyślne logowanie zwykle tworzy uwierzytelnioną sesję z własnym sekretem, który musi pozostać chroniony, choć nie był wpisywany na ekranie logowania.
Najważniejsze punkty
Projektowanie uwierzytelnianiaDobieraj uwierzytelniki według wymaganej pewności, odporności na phishing, populacji użytkowników, kontekstu urządzenia i ryzyka odzyskiwania.
Przechowywanie i transportChroń wymiany uwierzytelniające, przechowuj weryfikatory haseł zamiast odwracalnych haseł i trzymaj klucze prywatne oraz inne sekrety poza logami i niezaufanymi aplikacjami.
Cykl życiaZabezpiecz rejestrację, wiązanie, reset, odzyskiwanie, wymianę, unieważnianie i reakcję na kompromitację; słaba ścieżka zapasowa może podważyć normalną metodę logowania.
Istotne ograniczenie„Dane logowania przyjęte" nie dowodzi, że obecny jest prawowity właściciel. Skradzione hasła, uwierzytelniki, kanały odzyskiwania lub sekrety sesji mogą pozwolić atakującemu pojawić się jako prawidłowy użytkownik.