STRIDE для формы входа
Вопрос
Разберите по STRIDE обычную форму входа по логину и паролю с выдачей сессии.
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
Spoofing: перебор и credential stuffing, фишинг; MFA, лимиты, проверка утёкших паролей
Tampering: подмена параметров и cookie; подписанные сессии, проверки на сервере
Repudiation: нет журнала входов; аудит событий аутентификации
Information disclosure: перечисление аккаунтов, пароли в логах; одинаковые ответы, маскирование
Denial of service и блокировка аккаунтов; лимиты без жёсткой блокировки
Elevation of privilege: фиксация сессии, логика ролей; перевыпуск сессии, проверка прав
Что могут спросить следом
- Какая из угроз для вас самая приоритетная и почему?
- Что изменится, если добавить вход через внешнего провайдера?
Разбор
Образцовый ответ: «Spoofing главная угроза: перебор, credential stuffing и фишинг. Меры: лимиты, проверка паролей по утечкам, MFA, лучше passkeys. Tampering: подмена cookie или параметров, поэтому сессия серверная или подписанная, а всё проверяется на сервере. Repudiation: пользователь скажет, что не входил, нужен журнал входов с IP и устройством. Information disclosure: разные сообщения раскрывают существование аккаунта, пароли могут попасть в логи; делаем одинаковые ответы и маскирование. DoS: флуд формы и злонамеренная блокировка чужих аккаунтов, поэтому задержки вместо жёсткой блокировки. Elevation of privilege: фиксация сессии, лечится перевыпуском id при входе».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.