iKuai爱快流控路由

标题: 关于爱快云平台的建议 [打印本页]

作者: 胖子 时间: 2023-5-25 16:36
标题: 关于爱快云平台的建议
跟在线客服反馈过，客服让在这来发个帖子更好。

本次建议的是针对 yun.ikuai8.com 这个云管系统不针对路由器系统

场景针对使用账户密码登录爱快云

1.如果账户不存在，会提示邮箱未注册，可能导致风险是账号穷举。（等级低）
建议：应一律提示用户名或密码错误

2.账号密码登录没有次数锁定限制，并且没有图形验证码，可以进行密码穷举，包括社工字典攻击。（等级高）
建议：超过阈值的登录次数需要验证码（抓包看到了cptcha这个字段，但是没启用），尝试次数超过阈值锁定账户一定时间，并发送短信提醒。

3.成功的账号密码登录并没有二次验证。（等级高）
建议：判断常用登陆地或者常用设备，有异常需要进行短信验证码二次验证，强烈建议直接开启。

担忧原因：

1.一旦登录云管平台，权限太多，敏感操作也没用权限限制，可以直接查看绑定的设备的相关信息，在线终端等等。
2.甚至可以用绑定码，绑定攻击者的路由器，然后通过组网的方式，直接进入内网，与内网组网，危害非常大。
3.我们单位是爱快企业版，今天巡检的时候发现这个问题，千里之堤毁于蚁穴，信息安全不容小视，还请官方重视。

此致。

作者: 小老弟 时间: 2023-6-5 18:10
感谢建议，之前有上线登录验证码功能，很多用户反馈麻烦，我们会做一次评估，看看是否有兼顾的方式来优化。

作者: regg 时间: 2023-6-5 20:22
图形验证码作者枪毙100分钟！！！

消息来自爱快e云

欢迎光临 iKuai爱快流控路由 (https://bbs.ikuai8.com/)