К каким требованиям относится требование заблокировать пароль на входе
Что проверяют
Умеете ли вы классифицировать требования и видите ли, что одно и то же требование живёт сразу на двух уровнях. Следом обычно просят переписать его так, чтобы разработчик и тестировщик поняли одинаково: сколько попыток, на какое время, как разблокировать.
Как отвечать
Короткий ответ: это требование безопасности, то есть нефункциональное (атрибут качества в терминах ISO/IEC 25010). Сильный ответ показывает все его стороны:
- нефункциональный уровень: «система должна быть защищена от подбора пароля». Это цель, одним тест-кейсом её не проверить;
- функциональный уровень: «после 5 неудачных попыток входа подряд учётная запись блокируется на 15 минут, пользователь видит сообщение и получает письмо». Это поведение системы, оно проверяемо и попадает в спецификацию и тест-кейсы;
- бизнес-правило или ограничение: если требование пришло от регулятора, например из PCI DSS для платёжных данных, у него появляется внешний источник, который команда не вправе менять. В PCI DSS 4.0 это не больше 10 попыток и блокировка минимум на 30 минут либо до подтверждения личности.
Затем назовите параметры, которые аналитик обязан зафиксировать: порог попыток, окно подсчёта, длительность блокировки, способ разблокировки (таймер, поддержка, сброс через почту), текст для пользователя, логирование и оповещение службы безопасности. Отдельно оговорите, что блокируется: учётная запись или источник запросов.
Где спотыкаются
Говорят «блокировка пароля». Блокируется учётная запись или попытки входа, сам пароль остаётся прежним. Путаница в терминах сразу выдаёт поверхностное понимание.
Уверяют, что блокировка спасает при утечке пароля. Не спасает: злоумышленник с верным паролем войдёт с первой попытки, от этого защищает второй фактор, а не счётчик.
Не видят обратной стороны. Жёсткая блокировка превращается в способ отказа в обслуживании: достаточно перебрать чужие логины, и легальные пользователи заперты. Поэтому NIST SP 800-63B говорит об ограничении частоты попыток (не больше 100 неудачных подряд) и предлагает задержки и капчу, чтобы не запирать человека насовсем.