应用安全【免费下载链接】Top10Official OWASP Top 10 Document Repository项目地址https://gitcode.com/gh_mirrors/top/Top10点击查看免费下载本文基于 OWASP Top 10 官方文档仓库中 2021 版 A07 文档及其 英文原版展开系统讲解身份识别与认证失效这一风险类别的成因、危害、防护要点与攻击场景并结合仓库中的 2017 旧版条目、2021 数据因素定义、CWE 映射指南与 2025 新版条目帮助开发、测试与安全工程师建立完整的认证安全认知与可落地的加固方案。身份识别Identification、认证Authentication与会话管理Session Management是应用安全的第一道防线。读完本文你将掌握 A07:2021 类别的完整判定清单、22 个映射 CWE 的含义、三类典型攻击场景以及对照 NIST 800-63b 与现代最佳实践设计 MFA、密码策略与服务端会话管理的实战方法。一、类别定位从“认证失效”到“身份识别与认证失效”在 OWASP Top 10 2021 版本中A07 的前身是广为人知的A2:2017 Broken Authentication认证失效。2021 版将类别更名为Identification and Authentication Failures身份识别与认证失效排名从此前的第 2 位滑落至第 7 位。更名与重新定位的深层原因在于2021 版对 CWE 的归类方式从症状symptom转向根本原因root cause该类别不再只关注认证被破坏这一结果而是把范围扩展到与身份识别失败相关的各类 CWE 上。官方文档明确指出本类别纳入了多个与身份识别失败相关的常见弱点枚举CWE其中重点提及CWE-297证书与主机不匹配时校验不当Improper Validation of Certificate with Host MismatchCWE-287认证不当Improper AuthenticationCWE-384会话固定Session Fixation正如 2021 版 Introduction 文档 所总结的这一类别仍是 Top 10 的重要组成部分但标准化框架standardized frameworks的日益普及似乎正在帮助缓解此类风险。 这意味着得益于成熟框架内置的认证与会话管理能力该类别在整体风险排序中的位次有所下降但绝不代表可以忽视。在 2025 版文档 中该类别更名为更精准的Authentication Failures认证失效映射 CWE 从 22 个扩增至 36 个并继续保留第 7 位排名——这印证了认证问题在应用安全领域持续且稳定的高发态势。二、风险因素数据如何读懂 A07 的量化指标A07 文档开篇给出了一张数据因素表这是理解该类别在全部 Top 10 风险中相对位置的关键映射 CWEs 数最大发生率平均发生率最大覆盖率平均覆盖率平均加权利用难度平均加权影响总出现次数关联 CVEs 总数2214.84%2.55%79.51%45.72%7.406.50132,1953,897要准确解读这些数字需要理解 Introduction 文档 中定义的数据因素Data Factors口径CWEs Mapped映射 CWEs 数Top 10 团队映射到该类别的 CWE 数量本类别为 22 个接近 2021 版平均每类别 19.6 个的水平。Incidence Rate发生率在当年被测应用总体中至少存在一个该类别 CWE 实例的应用百分比。平均发生率 2.55% 意味着约每 39 个被测应用中就有 1 个存在身份识别/认证类弱点。Coverage覆盖率所有组织针对某个 CWE 实际开展测试的应用百分比平均覆盖率 45.72% 说明约有近半被测应用接受了认证相关的安全测试。Weighted Exploit加权利用难度将 CVSSv2 与 CVSSv3 中分配给映射 CWE 的 Exploit 子评分归一化到 10 分制后的均值7.40 表明认证类漏洞的利用难度较低分值越高越易被利用。Weighted Impact加权影响同理归一化的 Impact 子评分均值6.50 说明成功利用后对系统机密性、完整性或可用性的技术影响处于中高水平。Total Occurrences总出现次数被测应用中被发现存在该类别映射 CWE 的总数达 132,195 次。Total CVEs关联 CVE 总数NVDNational Vulnerability Database数据库中映射到本类别 CWEs 的 CVE 条目总数为 3,897 个。在 2021 版的计算方法中Exploit与Impact均值由具备 CVSSv3 评分的人口占比加权 剩余 CVSSv2 评分人口共同得出。因此 A07 的易利用7.40 高影响6.50组合意味着认证类缺陷一旦存在往往能以较低门槛造成严重破坏。三、应用存在认证弱点的九个判定信号A07 文档给出的核心判定清单共 9 项。当应用出现下列任一情况时即可认定存在认证弱点允许自动化撞库攻击Credential Stuffing攻击者手中持有有效的用户名与密码列表通常来自历史泄露事件应用未对此类自动化尝试做任何防护。允许暴力破解Brute Force或其他自动化攻击未对登录尝试频率做限制攻击者可以无限次猜测口令。允许默认、弱或众所周知的密码例如 Password1 或 admin/admin 这类无需破解即可登录的组合。使用脆弱或无效的凭据恢复与忘记密码流程例如基于知识的问答knowledge-based answers——这类答案如母亲 maiden name、宠物名字通常可通过公开信息获取无法被设计得安全。密码以明文、加密或弱哈希形式存储加密存储本质是可逆的弱哈希如未加盐的 MD5/SHA1可被离线快速破解。此类问题与 A02:2021-加密机制失效 类别高度关联。缺少或无效的多因素认证MFA仅依赖单一口令因子未启用 MFA 或 MFA 可被轻易绕过。会话标识Session ID暴露在 URL 中如通过 URL 重写URL rewriting传递 session ID导致其可能通过 Referer、浏览器历史、代理日志泄露。登录成功后未轮换会话标识复用登录前的 session ID使攻击者有机会实施会话固定攻击。会话失效处理不当用户会话或认证令牌尤其是 SSO 单点登录令牌在注销或一段时间不活动后未被正确失效。该清单同样可追溯至 2017 版 A2:2017 Broken Authentication 文档2021 版在继承其核心内容的基础上进一步将类别焦点从认证扩展至身份识别并把会话标识轮换、SSO 令牌失效等细节表述得更精确。四、七条防护措施从策略到实现的完整加固路径A07 文档提出了 7 条防护建议覆盖策略层面与实现层面尽可能启用多因素认证MFAMFA 是阻断自动化撞库、暴力破解与被盗凭据重用攻击最有效的单一手段。即便口令泄露攻击者仍需突破第二因子。禁止默认凭据不得随产品发布或部署任何默认凭据尤其是管理员admin账户。历史上大量入侵源于未修改的默认口令。实施弱密码检查将新设置或修改的密码与最差 10,000 个密码列表比对如 SecLists 等公开字典命中即拒绝。这是成本极低但收益显著的防护。密码策略对齐 NIST 800-63b 第 5.1.1 节Memorized Secrets放弃强制周期性轮换与复杂组合的旧式策略该策略反而鼓励用户复用弱密码转而采用基于证据的现代策略——最小长度优先建议至少 8 位鼓励更长、允许所有可打印字符、以黑名单拦截常见弱口令而非强制必须含大小写数字符号。加固注册、凭据恢复与 API 通道抵御账户枚举Account Enumeration对所有登录结果成功、用户不存在、密码错误、账户锁定返回统一的消息避免攻击者通过错误提示差异判断账户是否存在。限制或逐步延迟失败的登录尝试设置失败次数阈值与递增延迟同时注意避免制造拒绝服务DoS场景例如勿让合法用户被轻易锁定。记录所有登录失败日志并在检测到撞库、暴力破解或其他攻击模式时向管理员告警。使用服务端、安全、内置的会话管理器登录成功后生成高熵high entropy随机新会话 ID会话标识不得出现在 URL 中必须安全存储并在**注销、空闲超时idle timeout与绝对超时absolute timeout**三个时点全部正确失效。五、三类典型攻击场景剖析A07 文档给出了 3 个具有代表性的攻击场景分别对应撞库、口令单因素依赖与会话超时缺失场景一撞库攻击Credential Stuffing撞库即使用已知口令列表批量尝试登录是最常见的攻击类型。假设某应用未实现自动化威胁或撞库防护则该应用会沦为密码预言机password oracle——攻击者通过观察登录响应即可判断凭据是否有效。由于攻击流量来自大量分布式 IP若无频率限制、设备指纹或 MFA 兜底单纯依赖改密码根本无法阻止此类攻击。场景二口令作为唯一登录因素大多数认证攻击源于持续将口令作为唯一认证因素。曾被奉为最佳实践的密码定期轮换 强制复杂度策略实际上鼓励用户使用并复用弱密码。官方文档据此明确建议组织应按照 NIST 800-63 停止这些旧式做法并部署多因素认证。场景三会话超时缺失导致公共终端账户接管应用未正确设置会话超时。用户在公共电脑上访问应用后不点击注销而直接关闭浏览器标签页离开。数小时后攻击者使用同一浏览器打开应用发现用户仍处于已认证Authenticated状态从而直接接管会话。这正好对应判定清单中的第 9 项信号——会话未在空闲期失效。六、映射 CWE 全清单与分组解读A07 共映射 22 个 CWE。按弱点性质可归为六组便于安全团队在代码审计与测试中定位认证逻辑缺陷组CWE-287 Improper Authentication认证不当CWE-288 Authentication Bypass Using an Alternate Path or Channel通过备用路径或通道绕过认证CWE-290 Authentication Bypass by Spoofing通过欺骗绕过认证CWE-294 Authentication Bypass by Capture-replay通过捕获-重放绕过认证CWE-302 Authentication Bypass by Assumed-Immutable Data利用被假定不可变的数据绕过认证CWE-304 Missing Critical Step in Authentication认证缺少关键步骤CWE-306 Missing Authentication for Critical Function关键功能缺少认证CWE-620 Unverified Password Change密码变更未经验证凭据管理组CWE-255 Credentials Management Errors凭据管理错误CWE-259 Use of Hard-coded Password使用硬编码密码CWE-521 Weak Password Requirements密码强度要求薄弱CWE-640 Weak Password Recovery Mechanism for Forgotten Password忘记密码的恢复机制薄弱CWE-798 Use of Hard-coded Credentials使用硬编码凭据会话管理组CWE-384 Session Fixation会话固定CWE-613 Insufficient Session Expiration会话过期不充分证书验证组CWE-295 Improper Certificate Validation证书校验不当CWE-297 Improper Validation of Certificate with Host Mismatch证书与主机不匹配时校验不当通道与来源验证组CWE-300 Channel Accessible by Non-Endpoint通道可被非端点访问CWE-346 Origin Validation Error来源验证错误CWE-940 Improper Verification of Source of a Communication Channel通信通道来源验证不当锁定机制组CWE-307 Improper Restriction of Excessive Authentication Attempts对过量认证尝试的限制不当CWE-1216 Lockout Mechanism Errors锁定机制错误需要特别指出的是CWE-259 与 CWE-798硬编码密码/凭据的入选意味着 A07 不仅涵盖运行时认证逻辑也涵盖代码与配置中遗留的静态凭据CWE-295/CWE-297证书验证则把 TLS 证书校验失败如客户端未校验服务器证书、通配符/主机名不匹配也纳入本类别这与身份识别失败的定位一致。仓库中的 CWE-Guidance.md 还提供了面向数据提交者的宽泛 CWE 参考清单含 CWE-287、CWE-295、CWE-308、CWE-384、CWE-521、CWE-522、CWE-613、CWE-640、CWE-798、CWE-1216 等认证相关条目可用于日常漏洞归类。七、从 2017 到 2021 再到 2025类别的演进脉络对比仓库中三个版本的同主题文档可以清晰看到类别演进的逻辑维度A2:2017 Broken AuthenticationA07:2021 Identification and Authentication FailuresA07:2025 Authentication Failures排名第 2 位第 7 位第 7 位映射 CWE 数少量列举CWE-287、CWE-384 等22 个36 个核心变化聚焦认证失效扩展至身份识别失败含证书验证类 CWE更精准命名纳入密码喷洒password spray等新型攻击在 2017 版文档 中该类别首次给出了 9 项弱点判定信号与 7 条防护建议的框架2021 版在此基础上将类别重新定义为身份识别与认证失效并补充了 CWE 映射机制与量化数据2025 版则进一步将攻击面描述扩展至hybrid password attacks / password spray密码喷洒——攻击者用泄露凭据的变体或递增形式如 Password1!、Password2!、Password3!尝试登录。这一演进表明认证风险的内涵随攻击技术发展而持续扩大防护手段也必须随之迭代。八、在仓库中查阅与使用本主题的路线图核心文档阿拉伯语2021/docs/ar/A07_2021-Identification_and_Authentication_Failures.md英文原版含数据表与图标引用2021/docs/en/A07_2021-Identification_and_Authentication_Failures.md数据因素口径定义2021/docs/en/A00_2021_Introduction.md2017 旧版条目2017/en/0xa2-broken-authentication.md2025 新版条目2025/docs/en/A07_2025-Authentication_Failures.mdCWE 映射参考2021/Data/CWE-Guidance.md站点导航与多语言结构2021/mkdocs.ymlA07 在 Top 10 列表导航中的位置如需本地查阅整套文档可按 2021 版 README 的指引构建环境cd 2021后创建虚拟环境并安装requirements.txt依赖然后执行mkdocs serve在本地预览mkdocs gh-deploy则用于部署到站点。九、延伸参考资源A07 文档在参考资源部分列举了以下官方指引均可作为深化本主题的依据此处仅列名称便于在 OWASP 各项目与 NIST 官网定位原文OWASP Proactive ControlsImplement Digital Identity实施数字身份OWASP Application Security Verification StandardASVSV2 认证验证、V3 会话管理验证OWASP Web Security Testing Guide身份管理测试与认证测试章节OWASP Cheat Sheet 系列Authentication认证、Credential Stuffing Prevention撞库防护、Forgot Password忘记密码、Session Management会话管理OWASP Automated Threats Handbook自动化威胁手册NIST 800-63b 第 5.1.1 节Memorized Secrets记忆性秘密总结A07 身份识别与认证失效在 2021 版中从第 2 位的认证失效演化为聚焦根本原因的第 7 位风险类别其 22 个映射 CWE 覆盖认证逻辑、凭据管理、会话管理、证书验证与锁定机制五大薄弱面。应对之道可归纳为三句话用 MFA 打破单一口令依赖用统一错误消息与频率限制对抗自动化攻击用高熵随机 三时点失效的服务端会话管理器守住最后一道会话防线。赞分享应用安全【免费下载链接】Top10Official OWASP Top 10 Document Repository项目地址https://gitcode.com/gh_mirrors/top/Top10点击查看免费下载相关推荐OWASP Top 10 2021 A07 深度解析识别与认证失败Identification and Authentication Failures成因、防御与实战对照OWASP Top 10 2021 A07 深度解析识别与认证失败Identification and Authentication Failures成因应用安全OWASP Top 10 2021 A07 深度解析:身份识别与认证失败漏洞体系、CWE 映射与防护实践OWASP Top 10 2021 A07 深度解析:身份识别与认证失败漏洞体系、CWE 映射与防护实践 本文基于 OWASP Top 10 官方文档仓库中 2应用安全OWASP Top 10 2025 深度解读A07 认证失败Authentication Failures的风险面、攻击场景与防护实践OWASP Top 10 2025 深度解读A07 认证失败Authentication Failures的风险面、攻击场景与防护实践 本篇文章基于 OW应用安全创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考