本篇涵蓋 EN 304 627 的：

• [AUTH-1] Authentication
• [AUTH-2] Authorisation
• [AUTH-3] Authenticated Session Lifecycle
• [AUTH-4] Protocol Access Control

1. [AUTH-1] Authentication

測試目的

確認使用者在存取受保護功能前，必須經過適當的身分驗證。

檢測項目

• Username / Password
• Default Credential
• Password Policy
• Login Failure
• Brute Force
• Authentication Bypass
• Remote Authentication

如何檢測

1. 未登入直接存取管理介面。
2. 使用錯誤帳號。
3. 使用錯誤密碼。
4. 測試預設帳號。
5. 測試弱密碼。
6. 測試大量登入。
7. 嘗試繞過 Login。
8. 測試 Web API 是否有相同 Authentication 保護。

符合判定

未經 Authentication 的使用者不能取得需要身分驗證的功能。

2. [AUTH-2] Authorisation

測試目的

確認使用者登入後，只能執行被授權的操作。

檢測項目

• Administrator
• Normal User
• Guest
• Read-only User
• Privileged Function
• Configuration Access

如何檢測

• 修改設定
• 新增帳號
• 刪除帳號
• 修改其他帳號
• Firmware Update
• 查看敏感資料
• 修改 Security Configuration

符合判定

低權限帳號不能執行高權限操作。

3. [AUTH-3] Authenticated Session Lifecycle

測試目的

確認登入後 Session 的建立、使用與結束受到適當控制。

檢測項目

• Session Creation
• Session ID
• Session Timeout
• Logout
• Session Invalidation
• Concurrent Session
• Session Reuse

如何檢測

1. 登入管理介面。
2. 取得 Session ID。
3. Logout。
4. 嘗試重新使用舊 Session。
5. 等待 Session Timeout。
6. 再次使用原 Session。
7. 測試不同裝置同時登入。

符合判定

Logout 或 Session Timeout 後，原 Session 不應繼續具有有效權限

4. [AUTH-4] Protocol Access Control

測試目的

確認產品提供的 Network Protocol 與 Service 都受到適當的存取控制。

檢測項目

• HTTP
• HTTPS
• SSH
• Telnet
• SNMP
• FTP
• API
• Remote Management

如何檢測

利用工具，例如 nmap先確認port狀態，再確認

• 是否需要 Authentication？
• 是否可以從 WAN 存取？
• 是否可以從 LAN 存取？
• 是否可以從 Guest Network 存取？
• 是否可以停用？
• 是否使用安全通訊協定？

符合判定

未授權使用者不應透過不受控制的 Protocol 或 Service 存取受保護功能。