Lesson Plan Title: Basic Authentication
+Название урока: Основная аутентификация
Concept / Topic To Teach:
+Тема для изучения:
-Basic Authentication is used to protect server side resources. The web server will send a 401 authentication request with the response for the requested resource. The client side browser will then prompt the user for a user name and password using a browser supplied dialog box. The browser will base64 encode the user name and password and send those credentials back to the web server. The web server will then validate the credentials and return the requested resource if the credentials are correct. These credentials are automatically resent for each page protected with this mechanism without requiring the user to enter their credentials again.General Goal(s):
-For this lesson, your goal is to understand Basic Authentication and answer the questions below. +Основная аутентификация используется для защиты ресурсов расположенных на стороне сервера. +При получении запроса от пользователя веб-сервер отправляет ему ответ с кодом 401. +Получив его браузер запрашивает у пользователя логин и пароль в специальном диалоговом окне. После +ввода браузер кодирует полученные данные по алгоритму base64 и отсылает веб-серверу. +Последний, в свою очередь, проверяет полученную информацию и, если всё правильно, отдаёт клиенту запрашиваемый +документ. Указанные пользователем данные далее автоматически отсылаются браузером при каждом обращении к +защищённым ресурсам. + +Основная цель(и):
+На этом уроке вашей целью является понимание механизмов основной аутентификации и ответ на вопросы которые находятся ниже. diff --git a/src/main/webapp/lesson_plans/ru/ForgotPassword.html b/src/main/webapp/lesson_plans/ru/ForgotPassword.html index 06b2feb2f..824374b48 100644 --- a/src/main/webapp/lesson_plans/ru/ForgotPassword.html +++ b/src/main/webapp/lesson_plans/ru/ForgotPassword.html @@ -1,9 +1,13 @@Lesson Plan Title: How to Exploit the Forgot Password Page
+Название урока: Как можно использовать страницу восстановления пароля
Concept / Topic To Teach:
+Тема для изучения:
-Web applications frequently provide their users the ability to retrieve a forgotten password. Unfortunately, many web applications fail to implement the mechanism properly. The information required to verify the identity of the user is often overly simplistic. -General Goal(s):
-Users can retrieve their password if they can answer the secret question properly. There is no lock-out mechanism on this 'Forgot Password' page. Your username is 'webgoat' and your favorite color is 'red'. The goal is to retrieve the password of another user. +Веб-приложения очень часто предоставляют своим пользователям возможность восстановления забытого пароля. +К сожалению, во многих из них данный механизм реализован не безопасно. Информация, требуемая для идентификации +пользователя, как правило, очень проста. +Основные цели:
+Пользователи могут восстановить их пароль если у них получится ответить на секретный вопрос. На странице +восстановления нет никаких мезанизмов связанных с блокировкой аккаунтов. Ваше имя пользователя - 'webgoat', +любимый цвет - красный (red). Цель урока - восстановить пароль к аккаунту другого пользователя. \ No newline at end of file diff --git a/src/main/webapp/lesson_plans/ru/MultiLevelLogin1.html b/src/main/webapp/lesson_plans/ru/MultiLevelLogin1.html index b5bd6118d..464a1bac0 100644 --- a/src/main/webapp/lesson_plans/ru/MultiLevelLogin1.html +++ b/src/main/webapp/lesson_plans/ru/MultiLevelLogin1.html @@ -1,20 +1,19 @@Lesson Plan Title: Multi Level Login 1
+Название урока: Многоуровневая авторизация 1
Concept / Topic To Teach:
+Тема для изучения:
-A Multi Level Login should provide a strong authentication. -This is archived by adding a second layer. After having -logged in with your user name and password you are asked -for a 'Transaction Authentication Number' (TAN). This is -often used by online banking. You get a list with a lots -of TANs generated only for you by the bank. Each TAN is used only once. -Another method is to provide the TAN by SMS. This has -the advantage that an attacker can not get TANs provided -by the user. -General Goal(s):
-In this Lesson you try to get around the strong authentication. -You have to break into another account. The user name, password and a -already used TAN is provided. You have to make sure -the server accept the TAN even it is already used. +Многоуровневая авторизация обеспечивается добавленим дополнительного варианта +проверки пользователя. Например, после того как вы зайдёте под своим именем и паролем, при +совершении важной операции приложение может попросить вас указать идентификационный номер транзакции (TAN). +Обычно такие схемы используются в онлайн-банкинге. Банк даёт вам список допустимых +номеров транзакций которые уникальны для каждого клиента. Один TAN может быть использован +только один раз. Кроме того, TAN может отправляться клиенту по SMS. В данном случае +упор делается на то, что злоумышленнику очень трудно узнать номера транзакций имеющиеся +у пользователя. + +Основные цели и задачи:
+В данном уроке вы должны исследовать похожую система аутентификации. +Из исходных данных у вас есть имя пользователя, пароль и +уже использованые TAN. Вы должны узнать принимает ли сервер номера транзакций ставшие недействительными. diff --git a/src/main/webapp/lesson_plans/ru/MultiLevelLogin2.html b/src/main/webapp/lesson_plans/ru/MultiLevelLogin2.html index 3514b7148..7d77f76d9 100644 --- a/src/main/webapp/lesson_plans/ru/MultiLevelLogin2.html +++ b/src/main/webapp/lesson_plans/ru/MultiLevelLogin2.html @@ -1,20 +1,17 @@Lesson Plan Title: Multi Level Login 2
+Название урока: Многоуровневая авторизация 2
Concept / Topic To Teach:
+Тема для изучения:
-A Multi Level Login should provide a strong authentication. -This is archived by adding a second layer. After having -logged in with your user name and password you are asked -for a 'Transaction Authentication Number' (TAN). This is -often used by online banking. You get a list with a lots -of TANs generated only for you by the bank. Each TAN is used only once. -Another method is to provide the TAN by SMS. This has -the advantage that an attacker can not get TANs provided -by the user. -General Goal(s):
-In this lesson you have to try to break into another account. -You have an own account for WebGoat Financial but you want to -log into another account only knowing the user name of the victim -to attack. +Многоуровневая авторизация обеспечивается добавленим дополнительного варианта +проверки пользователя. Например, после того как вы зайдёте под своим именем и паролем, при +совершении важной операции приложение может попросить вас указать идентификационный номер транзакции (TAN). +Обычно такие схемы используются в онлайн-банкинге. Банк даёт вам список допустимых +номеров транзакций которые уникальны для каждого клиента. Один TAN может быть использован +только один раз. Кроме того, TAN может отправляться клиенту по SMS. В данном случае +упор делается на то, что злоумышленнику очень трудно узнать номера транзакций имеющиеся +у пользователя. +Основные цели и задачи:
+У вас уже есть аккаунт для системы 'WebGoat Financial', но вам нужно +войти под другим аккаунтом зная лишь его логин. \ No newline at end of file diff --git a/src/main/webapp/lesson_plans/ru/PasswordStrength.html b/src/main/webapp/lesson_plans/ru/PasswordStrength.html index d5025216d..96a0e1bc0 100644 --- a/src/main/webapp/lesson_plans/ru/PasswordStrength.html +++ b/src/main/webapp/lesson_plans/ru/PasswordStrength.html @@ -1,10 +1,13 @@Lesson Plan Title: Password Strength
+Название урока: Стойкость пароля
Concept / Topic To Teach:
+Тема для изучения:
-Accounts are only as secure as their passwords. Most users have the same weak password everywhere. If you want to protect them against brute-force-attacks your application should have good requirements for passwords. The password should contain lower case letters, capitals and numbers. The longer the password, the better. +Аккаунты защищены на столько, на сколько защищены их пароли. Многие пользователи +везде стремятся использовать самые простые варианты паролей. Если вы хотите защитить их от атаки методом простого +перебора (brute-force), вам следует предъявлять к ним серьёзные требования. Пользовательский пароль обязательно должен содержать +как минимум буквы верхнего и нижнего регистров и цифры. Чем длиннее пароль, тем лучше.General Goal(s):
- For this exercise, your job is to test several passwords on https://www.cnlab.ch/codecheck \ No newline at end of file +Основные цели и задачи:
+ Попробуйте проверить несколько используемых вами паролей на стойкость вот на этом сервисе - https://www.cnlab.ch/codecheck \ No newline at end of file