CWE-521

O produto não exige que os usuários tenham senhas fortes.

Consequências comuns

• Controle de Acesso → Obter Privilégios ou Assumir Identidade

Mitigações

• Arquitetura e Projeto: O projeto de um produto deve exigir a adesão a uma política de senhas apropriada. Os requisitos específicos de senha dependem fortemente de fatores contextuais, mas recomenda-se que contenham os seguintes atributos: - Aplicação de um comprimento mínimo e máximo - Restrições contra a reutilização de senhas - Restrições contra o uso de senhas comuns - Restrições contra o uso d
• Arquitetura e Projeto: Considere um segundo fator de autenticação além da senha, o que evita que a senha seja um ponto único de falha. Consulte CWE-308 para mais informações.
• Implementação: Considere implementar um medidor de complexidade de senha para informar aos usuários quando uma senha escolhida atende aos atributos exigidos.
• Implementação: Anteriormente, a "expiração de senha" era amplamente defendida como uma abordagem de defesa em profundidade para minimizar o risco de senhas fracas, e tornou-se uma prática comum. A expiração de senha exige que uma senha seja alterada dentro de uma janela de tempo fixa (como a cada 90 dias). No entanto, essa abordagem tem limitações significativas no cenário atual de ameaças, e sua