第16章 互联网业务安全
16.1 产品需要什么样的安全
安全是一个独立的,应该与业务持平。
16.1.1 互联网产品对安全的需求
安全性是产品特性的一个组成部分,具备了安全性,产品才是完整的;安全做好了,产品才是最终正真的成熟。
16.1.2 什么是好的安全方案
我认为好的方案是:
q 人性化
q 智能化
q 性价比高
再次强调,安全是产品的一种特性,如果产品能够潜移默化地培养用户的安全习惯,将用户往更安全的行为上引导。那么这就是最好的最理想的产品安全。
16.2 业务逻辑安全
需要在满足业务需求的同时保障业务的逻辑安全,形参一个完整的安全链。
16.3 账户是如何被盗的
账户被盗的途径:
q 网站登录过程中无HTTPS,密码在网络中被嗅探
q 用户电脑中了木马,密码被键盘记录软件所获取
q 用户的登录钓鱼网站,密码被欺骗
q 网站的登录入口可以被暴力破解
q 网站密码取回流程存在逻辑漏洞
q 网站存在XSS漏洞,用户帐号被间接窃取
q 网站存在SQL漏洞,网站被黑客入侵导致用户账号信息泄露
16.4 互联网的垃圾
需要防御“垃圾注册”和僵尸账号
防御手段:
q 注册验证码
q 注册需要邮箱或者短信验证
16.5 关于网络钓鱼
网络钓鱼泛滥原因:
q 制作成本低廉,经济利益大,犯罪追踪困难。
q 静态、单向用户名/口令认证体制:网络用户需要向网站服务器提交身份心事,认证用户信息,却无法认证网络服务器身份信息。
q 网站身份认证简单,容易被窃取。
钓鱼网站防御:
q 建立反钓鱼的统一战线
q 在浏览器识别钓鱼网站
q 找到一个唯一的客户端信息,贯穿于整个网上支付流程的所有平台,保证订单是有订单创建这本人支付。
16.6 用户隐私保护
保护用户隐私:
q 用户有知情权和选择权
q 网站需要妥善保管收集到的用户数据,不得将数据用于任何指定范围以外的用户
本文转自 梦朝思夕 51CTO博客,原文链接:http://blog.51cto.com/qiangmzsx/1859567