Выбор ответа Middle Аутентификация и права обновлено
Перебор пользователей через форму входа
Вопрос
Форма входа отвечает «пользователь не найден» или «неверный пароль». Что не так?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: По разным ответам узнают, какие email есть; нужен общий ответ и лимиты. Перебор пользователей помогает фишингу и атакам подбора паролей.
Варианты ответа
- Ничего: так удобнее пользователю, он сразу понимает, что исправить
- Нужно отвечать кодом 500, чтобы атакующий не понял причину отказа
- Нужно дополнительно сообщать, сколько символов в правильном пароле
- По разным ответам узнают, какие email есть; нужен общий ответ и лимитыправильный ответ
Разбор
Перебор пользователей помогает фишингу и атакам подбора паролей. Отвечают единым «неверный email или пароль», одинаковым временем ответа (хешировать и для несуществующего пользователя) и ограничивают попытки по аккаунту и IP. Сброс пароля тоже отвечает одинаково: «если такой email есть, мы отправили письмо».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.