test sécurisé connexion et inscription sur SSL

Question

J'ai mis en œuvre la connexion sécurisée et l'inscription sur mon site Web.Il travaille.Maintenant, je veux le tester.Je ne suis pas sûr de savoir comment tester s'il est correctement sécurisé.

Answer 1

Si vous voulez vérifier si elle se casse lorsqu'il est utilisé avec SSL, vous pouvez facilement tester le conduire en téléchargeant et installant OpenSSL, suivez ce tutorial pour créer un certificat auto-signé avec OpenSSL, install votre certificat nouvellement créé sur votre web serveur (Apache, si vous utilisez LAMP ou XAMPP) et enfin redémarrez votre serveur web. Maintenant que le SSL est prêt à être utilisé, essayez d'utiliser votre formulaire de connexion via https: // et voyez ce qui se passe. Si un navigateur Web comme Firefox se plaint de votre certificat, dites-lui de créer une exception.

C'est comme ça que vous pouvez le tester sur SSL, mais pour ce qui est du «si c'est correctement sécurisé», les choses se compliquent. Assurez-vous d'avoir au moins pris en charge:

• fixation de session
• Cross-site scripting
• stockage de mot de passe sécurisé (hashing)
• injections SQL
• Protection contre brute force avec la limitation ou à l'aide CAPTCHAs

Answer 2

Cela dépend de ce que le site est fait, par exemple s'il utilise Apache ou s'il s'agit d'un serveur local.

• Vérifiez le site est uniquement accessible via HTTPS (si c'est ce que l'on veut)
• test d'un accès via HTTP - comportement vérifier est comme prévu (pourrait être redirection vers HTTPS, page d'erreur ou un message d'avertissement .. .)
• essayez d'accéder au site sans passer à travers la page de connexion (URL-à-dire forger)
• Ouvrir une session, essayez d'y accéder d'un autre client sans vous connecter.
• test pour les mots de passe « évidents » (test/test, admin/admin)
• Vérifiez que vous ne pouvez pas vous connecter sans nom d'utilisateur vide/mot de passe
• verify ne peut pas accéder à la clé privée du système
• verify ne peut pas accéder à tous les fichiers du système (par exemple http://website.address/../../../../etc/passwd)
• ...

Vous pouvez également utiliser une suite de tests de sécurité de site Web, voir this list par insecure.org, il existe des produits commerciaux et des outils gratuits/open source. À mon humble avis, vous ne devriez pas essayer de tester SSL, car il s'agit d'un outil tiers.