Выбор ответа Junior Авторизация: IDOR, RBAC, ABAC обновлено
UUID и IDOR
Вопрос
Команда заменила числовые id заказов на UUID и считает IDOR закрытым. Что верно?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: UUID затрудняет перебор, но не заменяет проверку прав: id утекают в ссылках и логах. Неугадываемость снижает массовость атаки, но не отменяет необходимость проверки доступа.
Варианты ответа
- Верно: UUID невозможно угадать, а без знания идентификатора атака невозможна
- UUID затрудняет перебор, но не заменяет проверку прав: id утекают в ссылках и логахправильный ответ
- Неверно: UUID хуже числовых id, их стоит вернуть и добавить ограничение частоты
- Верно, но только для UUIDv7: в нём есть криптографическая подпись идентификатора
Разбор
Неугадываемость снижает массовость атаки, но не отменяет необходимость проверки доступа. Идентификаторы попадают в письма, ссылки, общие чаты и ответы других эндпоинтов. Возвращать числовые id не нужно, UUIDv7 отличается порядком сортировки, а не безопасностью.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.