パスワード、二要素認証、セッション

保存

ユーザーごとにソルトを持つ、遅くメモリ集約的になるよう設計された専用のパスワードハッシュアルゴリズム。可逆な暗号化も速いハッシュも決してしない。

合理的な最小長さ、漏洩したパスワードリストに対するチェック、強制的な定期ローテーションなし——より悪いパスワードにつながる。

第二要素

認証アプリまたはハードウェアキー。SMSは何もないよりましだが弱い。バックアップコードを保持し、すべての保護を無効にしない回復パスを計画する。

セッション

期限付きトークン、サーバー側の取り消しオプション、ユーザーが見て切断できる接続デバイスのリスト。すべてのログインとすべてのパスワード変更でセッション識別子をローテートする。