security - Grails パスワードの変更: 「新しい」パスワードのみを許可する

Question

grails で構築された Web サイトのセキュリティを改善する必要があります。

要件は、ユーザーがパスワードを変更するときに、以前の N 個のパスワードのいずれからも選択できないようにすることです。

誰かがこれのためのモジュールを知っていますか? 自分で巻くべきですか？

ご意見/ヒントをいただければ幸いです。

前もって感謝します

Answer 1

それはあなたの要件に依存します。利用可能なセキュリティ プラグインがいくつかあります。リストについては、http://www.grails.org/Security の「ログインとページ レベルのセキュリティの提供」の見出しを 参照してください。それを特定のユーザーに関連付けます。新しいパスワードがドメインに保存されている古いパスワードのリストにある場合、ユーザーがそれを訴えることを許可しないでください。

Answer 2

自分で巻くのは難しくありません。

Save の前に GORM イベントを利用し、パスワードを比較して確認し、比較の結果を考慮して、キャンセルするか続行します。

Answer 3

要件は、ユーザーがパスワードを変更するときに、以前の N 個のパスワードのいずれからも選択できないようにすることです。

この要件に反対してください。それは非常識で、セキュリティを少し改善しません。ユーザーにパスワードを変更させるたびに、パスワードを書き留めてモニターに貼り付ける可能性が高くなります。古いパスワードを再利用できないようにすると、事態はさらに悪化します。

これは、医療のベスト プラクティスであった出血や浸出のようなセキュリティの「ベスト プラクティス」です。誰もが無知からそれをしていました。