識別と認証と認可の違い、3要素認証、パスワードの保管、セッション管理、ログインエラーメッセージの設計。

ユーザ列挙の手法、レスポンス時間からの漏洩、ブルートフォース、クレデンシャル・スタッフィング、レート制限、MFA。

うつろい EC のログイン画面が「ユーザ不在」と「パスワード違い」で別メッセージを返す。8件の候補リストから会員4名を特定する。

エラーメッセージは統一されたが、bcrypt 検証の有無による応答時間の差からユーザの存在/不在を判別できる。

列挙したアカウントに対して、よくあるパスワード候補を総当たり。レート制限がないため、簡単な辞書で数秒で破れる。

6桁の TOTP コードを検証するエンドポイントにレート制限がなく、100万通り総当たりで突破できる。

リセット token が base64(timestamp + user_id) という予測可能な値で生成されており、攻撃者が他人の token を再現できる。