【文章內容簡介】 ，未經許可不得擴散 第 13 頁, 共 39 頁圖 2 驗證碼實施指導：建議使用電信軟件與核心網網絡安全工程部提供的 驗證碼 CBB。備注：對于嵌入式系統(tǒng)，如果實現驗證碼比較困難，可以通過多次認證失敗鎖定客戶端 IP的方式來防止暴力破解。規(guī)則 ：用戶名、密碼和驗證碼必須在同一個請求中提交給服務器，必須先判斷驗證碼是否正確，只有當驗證碼檢驗通過后才進行用戶名和密碼的檢驗，否則直接提示驗證碼錯誤。說明：如果驗證碼和用戶名、密碼分開提交，攻擊者就可以繞過驗證碼校驗（如：先手工提交正確的驗證碼，再通過程序暴力破解），驗證碼就形同虛設，攻擊者依然可以暴力破解用戶名及口令。規(guī)則 ：所有登錄頁面的認證處理模塊必須統(tǒng)一。說明：可以存在多個登錄頁面，但是不允許存在多個可用于處理登錄認證請求的模塊，防止不一致的認證方式。規(guī)則 ：所有針對其他第三方開放接口的認證處理模塊必須統(tǒng)一。規(guī)則 ：認證處理模塊必須對提交的參數進行合法性檢查。說明：具體輸入校驗部分請查看 輸入校驗。規(guī)則 ：認證失敗后，不能提示給用戶詳細以及明確的錯誤原因，只能給出一般性的提示。說明：可以提示：“用戶名或者口令錯誤，登錄失敗”；不能提示：“用戶名不存在”、“口令必須是 6 位”等等。規(guī)則 ：最終用戶 portal 和管理 portal 分離。說明：最終用戶 portal 和管理 portal 分離，防止相互影響，防止來自用戶面的攻擊影響管理面。Web 應用安全開發(fā)規(guī)范 內部公開202254 華為機密，未經許可不得擴散 第 14 頁, 共 39 頁實施指導：將最終用戶 portal 和管理 portal 分別部署在不同的物理服務器；如果為了解決成本合設（部署在同一臺物理服務器上），那么，必須做到端口分離（通過不同的端口提供 Web 服務），一般的 Web 容器（如 tomcat）支持為不同的 Web 應用創(chuàng)建不同的端口。規(guī)則 ：禁止在系統(tǒng)中預留任何的后門帳號或特殊的訪問機制。規(guī)則 ：對于重要的管理事務或重要的交易事務要進行重新認證，以防范會話劫持和跨站請求偽造給用戶帶來損失。說明：重要的管理事務，比如重新啟動業(yè)務模塊；重要的交易事務，比如轉賬、余額轉移、充值等。重新認證，比如讓用戶重新輸入口令。規(guī)則 ：用戶名和密碼認證通過后，必須更換會話標識，以防止會話固定（session fixation）漏洞。實施指導：場景一：對于從 HTTP 轉到 HTTPS 再轉到 HTTP（也就是僅在認證過程采用 HTTPS，認證成功后又轉到 HTTP）的，在用戶名和密碼認證通過后增加以下行代碼：().invalidate()。HttpSession newSession=(true)。Cookie cookie = new Cookie(JSESSIONID,())。 (1)。(false)。(())。(cookie)。場景二：對于全程采用 HTTPS 協議，或者全程采用 HTTP 協議的，在用戶名和密碼認證通過后增加以下行代碼：().invalidate()。(true)。建議 ：管理頁面建議實施強身份認證。說明：如雙因素認證、SSL 雙向證書認證、生物認證等；還可以通過應用程序限制只允許某些特定的 IP 地址訪問管理頁面，并且這些特定的 IP 地址可配置。建議 ：同一客戶端在多次連續(xù)嘗試登錄失敗后，服務端需要進行用戶帳號或者是客戶端所在機器的 IP 地址的鎖定策略，且該鎖定策略必須設置解鎖時長，超時后自動解鎖。說明：Web 應用安全開發(fā)規(guī)范 內部公開202254 華為機密，未經許可不得擴散 第 15 頁, 共 39 頁登錄失敗應該提示用戶：如果重試多少次不成功系統(tǒng)將會鎖定。在鎖定期間不允許該用戶帳號（或者客戶端所在機器的 IP 地址）登錄。允許連續(xù)失敗的次數（指從最后一次成功以來失敗次數的累計值）可配置，取值范圍為：099 次，0 表示不執(zhí)行鎖定策略，建議默認： 5 次。鎖定時長的取值范圍為：0999 分鐘，建議默認：30 分鐘，當取值為 0 時，表示無限期鎖定，只能通過管理員手動解鎖（需要提供管理員對服務器鎖定其它用戶帳號/IP 進行解鎖的功能界面）。建議優(yōu)先使用帳號鎖定策略。注意：應用程序的超級用戶帳號不能被鎖定，只能鎖定操作的客戶端所在的 IP，這是為了防止系統(tǒng)不可用。特別說明：鎖客戶端 IP 策略存在缺陷，當用戶使用 proxy 上網時，那么鎖定客戶端 IP 會導致使用該 proxy 上網的所有用戶在 IP 鎖定期間都不能使用該 Web應用；鎖定用戶帳戶的策略也存在缺陷，當攻擊者不斷嘗試某帳戶的口令，就給該帳戶帶來拒絕服務攻擊，使該帳戶不可用。 驗證碼規(guī)則 ：驗證碼必須是單一圖片，且只能采用 JPEG、PNG 或 GIF 格式。說明：驗證碼不能使用文本格式，不允許多圖片組合（如用四個圖片拼成的驗證碼）。規(guī)則 ：驗證碼內容不能與客戶端提交的任何信息相關聯。說明：在使用驗證碼生成模塊時不允許接收來自客戶端的任何參數，例如：禁止通過?code=1234 的 URL 請求，將 1234 作為驗證碼隨機數。規(guī)則 ：驗證碼模塊生成的隨機數不能在客戶端的靜態(tài)頁面中的網頁源代碼里出現。說明：在客戶端網頁上點擊鼠標右鍵、選擇“查看源文件”時，必須看不到驗證碼模塊生成的隨機數。規(guī)則 ：驗證碼字符串要求是隨機生成，生成的隨機數必須是安全的。說明：對于 java 語言可以使用類 來生成安全的隨機數。規(guī)則 ：驗證碼要求有背景干擾，背景干擾元素的顏色、位置、數量要求隨機變化。規(guī)則 ：驗證碼在一次使用后要求立即失效，新的請求需要重新生成驗證碼。說明：進行驗證碼校驗后，立即將會話中的驗證碼信息清空，而不是等到生成新的驗證碼時再去覆蓋舊的驗證碼，防止驗證碼多次有效；注意：當客戶端提交的驗證碼為空，驗證Web 應用安全開發(fā)規(guī)范 內部公開202254 華為機密，未經許可不得擴散 第 16 頁, 共 39 頁不通過。說明：以上規(guī)則可以通過使用電信軟件與核心網網絡安全工程部提供的 驗證碼 CBB 來實現。 會話管理規(guī)則 ：使用會話 cookie 維持會話。說明：目前主流的 Web 容器通過以下幾種方式維持會話：隱藏域、 URL 重寫、持久性cookie、會話 cookie，但通過隱藏域、URL 重寫或持久性 cookie 方式維持的會話容易被竊取，所以要求使用會話 cookie 維持會話。如果條件限制必須通過持久性 cookie 維持會話的話，那么 cookie 信息中的重要數據部分如身份信息、計費信息等都必須進行加密。（cookie 有兩種：會話 cookie 和持久性 cookie；會話 cookie，也就是非持久性 cookie，不設置過期時間，其生命期為瀏覽器會話期間，只要關閉瀏覽器窗口，cookie 就消失了；會話 cookie 一般不存儲在硬盤上而是保存在內存里。持久性 cookie，設置了過期時間，被瀏覽器保存到硬盤上，關閉后再次打開瀏覽器，持久性 cookie 仍然有效直到超過設定的過期時間。）備注：對于嵌入式系統(tǒng)的 Web，不適合本條規(guī)則，按“規(guī)則 ”實施。規(guī)則 ：會話過程中不允許修改的信息，必須作為會話狀態(tài)的一部分在服務器端存儲和維護。說明：會話過程中不允許修改的信息，例如，當用戶通過認證后，其用戶標識在整個會話過程中不能被篡改。禁止通過隱藏域或 URL 重寫等不安全的方式存儲和維護。對 JSP 語言，就是應該通過 session 對象進行存儲和維護。規(guī)則 ：當 Web 應用跟蹤到非法會話，則必須記錄日志、清除會話并返回到認證界面。說明： 非法會話的概念就是通過一系列的服務端合法性檢測（包括訪問未授權資源，缺少必要參數等情況），最終發(fā)現的不是正常請求產生的會話。規(guī)則 ：禁止使用客戶端提交的未經審核的信息來給會話信息賦值。說明：防止會話信息被篡改，如惡意用戶通過 URL 篡改手機號碼等。規(guī)則 ：當用戶退出時，必須清除該用戶的會話信息。Web 應用安全開發(fā)規(guī)范 內部公開202254 華為機密，未經許可不得擴散 第 17 頁, 共 39 頁說明：防止遺留在內存中的會話信息被竊取，減少內存占用。實施指導：對于 JSP 或 java 語言使用如下語句： ().invalidate()。規(guī)則 ：必須設置會話超時機制，在超時過后必須要清除該會話信息。說明：建議默認會話超時時間為 10 分鐘（備注：對于嵌入式系統(tǒng)中的 Web，建議默認超時時間為 5 分鐘，以減少系統(tǒng)資源占用）。如果沒有特殊需求，禁止使用自動發(fā)起請求的機制來阻止 session 超時。規(guī)則 ：在服務器端對業(yè)務流程進行必要的流程安全控制，保證流程銜接正確，防止關鍵鑒別步驟被繞過、重復、亂序。說明：客戶端流程控制很容易被旁路（繞過），因此流程控制必須在服務器端實現。實施指導：可以通過在 session 對象中創(chuàng)建一個表示流程當前狀態(tài)的標識位，用0、…、N 分別表示不同的處理步驟，標識位的初始值為 0，當接收到步驟 N 的處理請求時，判斷該標識位是否為 N1，如果不為 N1，則表示步驟被繞過（或重復或亂序），拒絕受理，否則受理，受理完成后更改標識位為 N。規(guī)則 ：所有登錄后才能訪問的頁面都必須有明顯的“注銷（或退出）”的按鈕或菜單，如果該按鈕或菜單被點擊，則必須使對應的會話立即失效。說明：這樣做是為了讓用戶能夠方便地、安全地注銷或退出，減小會話劫持的風險。規(guī)則 ：如果產品（如嵌入式系統(tǒng)）無法使用通用的 Web 容器，只能自己實現 Web 服務，那么必須自己實現會話管理，并滿足以下要求：? 采用會話 cookie 維持會話。? 生成會話標識（session ID）要保證足夠的隨機、離散，以便不能被猜測、枚舉，要求session ID 要至少要 32 字節(jié)，要支持字母和數字字符集。? 服務端必須對客戶端提交的 session ID 的有效性進行校驗。說明：在嵌入式系統(tǒng)中部署 Web 應用，由于軟硬件資源所限，往往無法使用通用的 Web容器及容器的會話管理功能，只能自己實現。另外，為了節(jié)省內存，嵌入式 webserver 進程往往是動態(tài)啟動，為了使 session 更快的超時，建議增加心跳機制，對客戶端瀏覽器是否關閉進行探測，5s 一個心跳，30s 沒有心跳則 session 超時，關閉該 session。 權限管理規(guī)則 ：對于每一個需要授權訪問的頁面或 servlet 的請求都必須核實用戶的會話標識是Web 應用安全開發(fā)規(guī)范 內部公開202254 華為機密，未經許可不得擴散 第 18 頁, 共 39 頁否合法、用戶是否被授權執(zhí)行這個操作。說明：防止用戶通過直接輸入 URL，越權請求并執(zhí)行一些頁面或 servlet；建議通過過濾器實現。實施指導： 請參考“ 附件 5 Web 權限管理設計規(guī)格說明書 .docx”。規(guī)則 ：授權和用戶角色數據必須存放在服務器端，不能存放在客戶端，鑒權處理也必須在服務器端完成。說明：禁止將授權和角色數據存放在客戶端中（比如 cookie 或隱藏域中），以防止被篡改。規(guī)則 ：一個帳號只能擁有必需的角色和必需的權限。一個組只能擁有必需的角色和必需的權限。一個角色只能擁有必需的權限。說明：做到權限最小化和職責分離（職責分離就是分清帳號角色，系統(tǒng)管理帳號只用于系統(tǒng)管理，審計帳號只用于審計，操作員帳號只用于業(yè)務維護操作，普通用戶帳號只能使用業(yè)務。）這樣即使帳號被攻擊者盜取，也能把安全損失控制在最小的限度。規(guī)則 ：對于運行應用程序的操作系統(tǒng)帳號，不應使用“root”、“administrator”、“supervisor”等特權帳號或高級別權限帳號，應該盡可能地使用低級別權限的操作系統(tǒng)帳號。規(guī)則 ：對于應用程序連接數據庫服務器的數據庫帳號，在滿足業(yè)務需求的前提下，必須使用最低級別權限的數據庫帳號。說明：根據業(yè)務系統(tǒng)要求，創(chuàng)建相應的數據庫帳號，并授予必需的數據庫權限。不能使用“sa”、“sysman”等管理帳號或高級別權限帳號。 敏感數據保護 敏感數據定義敏感數據包括但不限于：口令、密鑰、證書、會話標識、License、隱私數據（如短消息的內容）、授權憑據、個人數據（如姓名、住址、電話等）等，在程序文件、配置文件、日志文件、備份文件及數據庫中都有可能包含敏感數據。Web 應用安全開發(fā)規(guī)范 內部公開202254 華為機密，未經許可不得擴散 第 19 頁, 共 39 頁 敏感數據存儲規(guī)則 ：禁止在代碼中存儲敏感數據。說明：禁止在代碼中存儲如數據庫連接字符串、口令和密鑰之類的敏感數據，這樣容易導致泄密。用于加密密鑰的密鑰可以硬編碼在代碼中。規(guī)則 ：禁止密鑰或帳號的口令以明文形式存儲在數據庫或者文件中。說明：密鑰或帳號的口令必須經過加密存儲。例外情況，如果 Web 容器的配置文件中只能以明文方式配置連接數據庫的用戶名和口令，那么就不用強制遵循該規(guī)則，將該配置文件的屬性改為只有屬主可讀寫。規(guī)則 ：禁止在 cookie 中以明文形式存儲敏感數據。說明：cookie 信息容易被竊取，盡量不要在 cookie 中存儲敏感數據；如果條件限制必須使用 cookie 存儲敏感信息時，必須先對敏感信息加密再存儲到 cookie。規(guī)則 ：禁止在隱藏域中存放明文形式的敏感數據。規(guī)則 ：禁止用自己開發(fā)的加密算法，必須使用公開、安全的標準加密算法。實施指導：場景 1：后臺服務端保存數據庫的登錄口令后臺服務器登錄數據庫需要使用登錄數據庫的明文口令，此時后臺服務器加密保存該口