应用安全分析和总结.docx

身份鉴别 应提供专用的登录控制模块对登录用户进行身份标识和鉴别； 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别； 查看对用户进行身份鉴别是采用两种或 以上机制，比如用户名/密码、CA、USB 、KEY、生物特征识别等中的两种。 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用； 通过测试主要应用系统的管理模块，查看系统是否具有用户身份唯一性标识的能力，如系统采用用户名来进行唯一性标识，则系统不应存在两个同名的用户。通过测试主要应用系统的管理模块，查看系统是否具有用户身份唯一性标识的能力，如系统采用用户名来进行唯一性标识，则系统不应存在两个同名的用户。 通过登录系统用户管理后台，先建立一个用 户名为“test1”的用户，然后继续尝试添 加一个用户名为“test1”的用户，系统提 示“用户名或别名test1 已存在”。因此，可判定该系统具有身份唯一性标识的能力。 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； 通过测试主要应用系统登录验证模块，验证系统在登录失败的情况下是否启用了登录失败处理功能，其测试结果是否与系统设计保持一致。 以“admin”用户登录界面登录应用系统，输入错误的鉴别口令，系统提示“用户名或密码错误”，则在输入错误的鉴别口令时系统并未精确返回密码错误，增加了非授权