关于爱快云平台的建议

胖子

跟在线客服反馈过，客服让在这来发个帖子更好。

本次建议的是针对 yun.ikuai8.com 这个云管系统 不针对路由器系统


场景针对使用账户密码登录爱快云

1.如果账户不存在，会提示邮箱未注册，可能导致风险是账号穷举。（等级低）
建议：应一律提示用户名或密码错误

2.账号密码登录没有次数锁定限制，并且没有图形验证码，可以进行密码穷举，包括社工字典攻击。（等级高）
建议：超过阈值的登录次数需要验证码（抓包看到了cptcha这个字段，但是没启用），尝试次数超过阈值锁定账户一定时间，并发送短信提醒。

3.成功的账号密码登录并没有二次验证。（等级高）
建议：判断常用登陆地或者常用设备，有异常需要进行短信验证码二次验证，强烈建议直接开启。

担忧原因：

1.一旦登录云管平台，权限太多，敏感操作也没用权限限制，可以直接查看绑定的设备的相关信息，在线终端等等。
2.甚至可以用绑定码，绑定攻击者的路由器，然后通过组网的方式，直接进入内网，与内网组网，危害非常大。
3.我们单位是爱快企业版，今天巡检的时候发现这个问题，千里之堤毁于蚁穴，信息安全不容小视，还请官方重视。

此致。

小老弟

感谢建议，之前有上线登录验证码功能，很多用户反馈麻烦，我们会做一次评估，看看是否有兼顾的方式来优化。

regg

图形验证码作者枪毙100分钟！！！

消息来自爱快e云