security - 如何为 Web 应用程序实现反网络钓鱼机制

Question

我们有用于配置的内部门户。如何实现反钓鱼机制 1.使用
哪种机制 2.如何使用
在此先感谢

Answer 1

网络钓鱼保护不仅在您的应用程序级别，而且还通过让您的用户了解网络钓鱼是什么。即使是顶级银行也容易受到网络钓鱼攻击。

我建议你：

• 通过在您的应用程序中添加有关网络钓鱼内容的注释来了解您的用户
• 实施 SSL 证书以改善对网络钓鱼的保护https://www.liquidweb.com/blog/index.php/secure-your-website-ssl-certificates-with-phishing-protection/（只是另一种措施，它没有'不保证是防弹的）

我在几家银行看到的一种机制是：

• 让用户插入他的用户名
• 显示一个只有他知道的图像，该用户先前在注册时选择了该图像。
• 让用户接受他/她之前选择了该图像
• 让用户输入他的密码

这样，如果用户是网络钓鱼攻击的受害者，攻击者不仅必须知道他的用户名，还必须知道用户选择的图像。

此外，如果用户不存在，您应该设置一个假图像，以防止用户枚举攻击。