A07:2025 — Authentication Failures؛ از رمز ضعیف تا JWT بی‌امضا
نگاهی جامع به تمام نقاطی که سیستم احراز هویت می‌تواند شکست بخورد — از brute force تا مدیریت ضعیف نشست.
Authentication Failures طیف وسیعی را پوشش می‌دهد: نبود rate limiting روی فرم ورود (credential stuffing)، سیاست رمز عبور ضعیف، مدیریت نشست ناامن (مثل Session Fixation)، و پیاده‌سازی غلط توکن‌های JWT (مثل پذیرش alg=none).
چرا MFA به‌تنهایی کافی نیست
احراز هویت دومرحله‌ای یک لایه‌ی دفاعی قوی است، اما اگر فرآیند بازیابی حساب (account recovery) ضعیف باشد، مهاجم می‌تواند کاملاً MFA را دور بزند — این دقیقاً همان الگوی «ضعیف‌ترین حلقه» است.
چک‌لیست عملی
- Rate limiting روی ورود، ثبت‌نام و بازیابی رمز
- Regenerate شناسه‌ی نشست بعد از هر تغییر سطح دسترسی
- الگوریتم و کلید JWT ثابت و از-پیش‌تعیین‌شده در سمت سرور
آزمایشگاه‌های Authentication/Brute Force، Session Fixation و JWT Misconfiguration PentesterHub این دسته را عملی پوشش می‌دهند.