CWE-521

El producto no exige que los usuarios tengan contraseñas robustas.

Consecuencias comunes

• Control de acceso → Obtener privilegios o asumir una identidad

Mitigaciones

• Arquitectura y diseño: El diseño de un producto debe exigir el cumplimiento de una política de contraseñas adecuada. Los requisitos específicos de las contraseñas dependen en gran medida de factores contextuales, pero se recomienda que incluyan los siguientes atributos: - Aplicación de una longitud mínima y máxima - Restricciones contra la reutilización de contraseñas - Restricciones contra el uso
• Arquitectura y diseño: Considere un segundo factor de autenticación además de la contraseña, lo que evita que la contraseña sea un único punto de fallo. Consulte CWE-308 para obtener más información.
• Implementación: Considere implementar un medidor de complejidad de contraseñas para informar a los usuarios cuando una contraseña elegida cumple los atributos requeridos.
• Implementación: Anteriormente, la "expiración de contraseñas" se promovía ampliamente como un enfoque de defensa en profundidad para minimizar el riesgo de contraseñas débiles, y se convirtió en una práctica común. La expiración de contraseñas requiere que una contraseña se cambie dentro de una ventana de tiempo fija (como cada 90 días). Sin embargo, este enfoque tiene limitaciones importantes en