שְׁאֵלָה:
חשוף למשתמש אם קיים חשבון?
forthrin
2013-08-15 22:30:51 UTC
view on stackexchange narkive permalink

מישהו אמר לי שמישהו לא יכול לאתר אם כתובת דוא"ל מסוימת משמשת משתמש רשום באתר. כך, למשל, כאשר המשתמש מבקש לאפס את הסיסמה שלו, עליך לומר "סיסמה נשלחה" בין אם הדוא"ל קיים במסד הנתונים או לא. אם לא, אנשים יכולים להשתמש בפונקציה זו כדי לבדוק מי חבר וגם לבדוק תוקף של רשימות ספאם וכו '.

אך שמתי לב שפייסבוק אומר "דואר אלקטרוני כבר רשום" אם תנסה לרשום את אותו דואר אלקטרוני פעמיים. האם זה אומר שהמוסכמות השתנו; שליידע את המשתמש חשוב יותר מאשר לחשוף חשבונות?

מדוע אתה מרמז שפייסבוק קובעת סטנדרטים של UX?אני מעדיף להציע את ההיפך
@phil294 זהו אחד האתרים הגדולים בעולם, אם לא, ולכן עומד בניסיונות אבטחה רבים יותר בדקה אחת מאשר רוב האתרים באינטרנט עושים בחודש, אולי בשנה.בדומה לגוגל מציבה הרבה מהסטנדרטים לפיתוח אתרים בעזרת התיעוד שלה, כך גם פייסבוק, במידה פחותה בהרבה, פשוט משום שהיא צריכה להקדים את העקומה ההנדסית כדי לשרוד להיות יעד גדול כמוה.מאיזו סיבה (ים) קונקרטיות, (כלומר מלבד הטיה כלפי פייסבוק כחברה), היית מציע להיפך?
@Hashim אני מסכים איתך שפייסבוק בוודאי קובעת תקני אבטחה.אבל בעוד שהשניים קשורים זה לזה במקצת (ראו שאלה זו ממש), התגובה הקודמת שלי הייתה על * חווית משתמש *, ולא על בעיות אבטחה.חוויית הדפדפן השולחני של פייסבוק רחוקה מלהיות מודרנית וסטנדרטית.אבל זה מחוץ לנושא ולא הייתי צריך להגיב מלכתחילה על ההערה הקודמת
ארבע תשובות:
Thomas Pornin
2013-08-15 22:53:51 UTC
view on stackexchange narkive permalink

זו מסורת די ישנה שלא לספר לאנשים אם יש כניסות ספציפיות או לא. זו הסיבה שמערכות יוניקס או חלונות, כשתבקשו אישורי משתמש, יגיבו לכל שגיאה בהודעה כללית "שם משתמש או סיסמה שגויים". הרעיון נובע מחזון התקפות מיושן למדי: לדמיין בחור רע שרוצה להיכנס למיינפריים ומצליח לשים את ידו על מסוף סדרתי המחובר למערכת, או אולי ממשק טלנט על קו מודם. התוקף הזה יהיה במצב של מתקפת מילונים מקוונת: הוא ינסה לנחש כניסה + סיסמה זוגית שמעניקה גישה. שמות הכניסה הניהוליים כמו "שורש" היו בדרך כלל מוגנים יותר מחשבונות משתמש רגילים (המשתמש "שורש" היה טוב יותר בבחירת סיסמאות חזקות, או לפחות כך שניתן היה לשער) כך שתוקפים ינסו למצוא חשבונות משתמש רגילים, וב חשבון משתמש מסוים, רגיל שמות.

צפייה ב הסרט משחקי מלחמה (משנת 1983) נותנת לך מושג טוב איך הדברים היו.

שימו לב לנקודה הקריטית: בתרחיש ההתקפה שלמעלה, התוקף רוצה להשיג לפחות חשבון, אך לא יכול היה להשיג אחד כזה בתנאים רגילים, או אפילו לדעת למי יש חשבון. / p>

עכשיו 2013, שלושה עשורים אחרי הסרט ההוא. יש לנו שרתים ש כולם יכולים להירשם בחינם ולקבל חשבון. השגת חשבון אחד היא אפוא כבר לא מטרה של תוקף. במקום זאת, התוקף ירצה לגשת לחשבונות ספציפיים עם זהויות ידועות. זה לא אותו מצב. ההקשר השתנה. לכן, הישנה הישנה אינה בהכרח ישימה.


בכל מקרה, כאשר משתמש מנסה להירשם בפייסבוק, הוא מצפה שהתהליך יעבוד. בשלב זה, התהליך עלול להיכשל מסיבה סבירה אחת בלבד, שהיא כתובת דוא"ל שכבר השתמשה בה. יהיה קשה להסתיר עובדה זו מהמשתמש ...

אם אנו רוצים "להגן" על כתובות דוא"ל של המשתמש, אז על תהליך הרישום לעבור כך:

  • המשתמש מזין את הדוא"ל לכאורה שלו.
  • דוא"ל נשלח לכתובת זו המכילה קישור רישום חד פעמי; עם זאת, אם הדוא"ל כבר רשום, נשלח דוא"ל המסביר את העובדה הזו. בדף האינטרנט של התגובה לא נכתב רמז לשאלה האם הדוא"ל כבר היה קיים במערכת או לא.
  • המשתמש נרשם באמצעות קישור מהדוא"ל.

תהליך כזה ישמש כתהליך אימות דוא"ל, אז זה טוב. עם זאת, יש לו זמן אחזור (המשתמש חייב לצאת מאתר האינטרנט, לפתוח את קורא הדוא"ל שלו ולהמתין לדוא"ל הנכנס), כך שהדבר עלול להיות בעייתי באתרי קניות (המשתמשים אינם סבלניים והם נוטים ללכת לחנות. במקום אחר אם הם מוצאים את תהליך הקופה מסורבל מדי). כמו כן, חייבים להיות כמה מעקות בטיחות כדי למנוע שימוש לרעה במערכת רישום זו למכונת דואר זבל.


אני חושב שניתן לומר שעבור מתחזקי פייסבוק, מה שהופך את תהליך הרישום לחלק וחלק מהיר ככל האפשר חשוב יותר מפרטיות המשתמש. באמת, מי זה יפתיע?

+1 פרשנות תובנה על סביבות האיום המשתנות לאורך זמן. באבטחת מחשבים, כמו בכל מקום אחר, קל מדי להתכונן להילחם במלחמה האחרונה.
אני חושב שאתה מניח כאן לפחות הנחה שגויה. אתה אומר "השגת חשבון אחד היא אפוא כבר לא מטרה של תוקף. במקום זאת, התוקף ירצה לגשת לחשבונות ספציפיים, בעלי זהויות ידועות." זה פשוט לא נכון. חשבונות אקראיים עדיין יכולים להיות בעלי ערך לתוקפים ממגוון סיבות. לְמָשָׁל. אם בחשבון יש יתרת מזומנים מסוג כלשהו שניתן לגנוב, אם ניתן להחזיק את החשבון ככופר מהבעלים שלו, אם יש נתונים יקרי ערך או קוד מקור בחשבון. יכולתי להמשיך ...
אני מבולבל מבחינתך "להגן" על דוא"ל המשתמש. אתה אומר שהמשתמש מצפה שתהליך יעבוד, ונקודת הכישלון היחידה תהיה דוא"ל שכבר נלקח. אז הפיתרון הוא לשלוח דוא"ל שמסביר את זה לכתובת הדוא"ל הזו ו"לא כתוב רמז בדף האינטרנט של התגובה ". אז עכשיו הרשמה זו אינה מוצלחת, ללא הודעת שגיאה שהוחזרה מדוע היא לא הצליחה, האם זה לא יעיד על התוקף באותה מידה כמו הודעת השגיאה? או שאני לא מבין משהו?
@Asaph אני מסכים.תוקף לא סתם פורץ חשבון אקראי רק כדי להשיג גישה רגילה ברמת המשתמש למערכת.זה טיפשי.אספקת הרשמה בחינם אינה הופכת תוקפים כאלה לחסרי תועלת לתוקף בשום אופן.
@DasBeasto בדף האינטרנט הרגיש לפרטיות שבו הרשמתו כוללת אימות דוא"ל תהיה: אין הודעת "כישלון" על כשל ("כבר קיים"), ** אין הודעת "הצלחה" על הצלחה **, אלא רק "דוא"ל שנשלחהודעה.חסר לך "אין הודעת" הצלחה "על הצלחה".
schroeder
2013-08-16 00:06:43 UTC
view on stackexchange narkive permalink

ייתכן שיש סיכונים PII שיש לקחת בחשבון. אפשר להניח של'כולם 'יש חשבון פייסבוק, ולכן גילוי שכל דוא"ל מסוים נרשם אינו עניין גדול.

אבל, קח שירות אחר, כמו' depression-help.com '. או 'it-burns- When-I-tinkle.net'. זו תהיה בעיה לשחרר לקהל הרחב כי אדם / דוא"ל מסוים רשום באתר.

כמו כן, בשירותים קטנים עם בסיס משתמשים קטן בכוונה, גילוי שמות משתמש יכול לספק מידע נוסף לתוקף שיכול לפגוע בחשבונות בדיוק כמו אותו סרט מסוים משנת 1983.

כובע עצה ל- @ ThomasPornin, אבל אני מאמין שיש כמה מקרים, כמו אלה שהצעתי, שמאפשרים לקבל החלטה מושכלת לגבי אי גילוי שמות / מיילים של חשבונות המשתמש.

+1 מסכים. בסופו של דבר זה תלוי באתר שלך. אם זה אתר שבו חשבון לא יכול להיות מביך, הסיכון הוא מינימלי. אם אתה מנהל אתר פוליטי או אתר פורנו, אתה לא רוצה שמישהו יקנה רשימה של 10,000 כתובות דוא"ל ויבדוק מול האתר ויידע שיש לו חשבון אז הסיכון לפרטיות ולמוניטין (של המשתמשים שלך) גבוה מאוד.
בוא נגיד שאני מבקש ממכללת עבודה את חשבון הפייסבוק שלו. הוא אומר לי שאין לו חשבון פייסבוק. למעשה יש לו חשבון פרטי. אם אכן יש לי את כתובת הדוא"ל הפרטית שלו אני יכול להוכיח שהוא משקר לי.
Bitbang3r
2013-08-27 01:03:31 UTC
view on stackexchange narkive permalink

אין באמת דרך חיננית לפתור בעיה זו שיכולה לגרום לכולם להיות מאושרים ב -100%. אם אתה מכריח את השימוש בכתובות דוא"ל כשמות משתמש, אתה מקל קל לקבוע אם מישהו שיש לו כתובת דוא"ל נתונה הוא משתמש (בעיית פרטיות). אם אתה מאפשר שמות משתמש שרירותיים, אתה באמת לא יכול להסתובב ולחשוף בסופו של דבר אם שם משתמש מסוים כבר נמצא בשימוש או לא, וכל מה שאתה באמת יכול לעשות זה לנקוט בצעדים כדי להאט משתמש שמנסה לגלות שמות משתמש תקפים.

רישומי משתמשים חדשים הם הבעיה הקשה ביותר להתמודד איתה, משום שאין לעקוף את העובדה שבסופו של דבר תצטרך להתמודד בחן עם התנגשות שם משתמש. הנה אפשרות אפשרית אחת: בקש מהמשתמש להזין כתובת דוא"ל, שם משתמש מוצע והסיסמה הרצויה. לאחר ההגשה, אמת כי הסיסמה מקובלת, ושלח למשתמש כתובת URL לאימות בדוא"ל.

  • אם כתובת הדוא"ל כבר בשימוש, אך קשורה לשם משתמש אחר, שלח דוא"ל למשתמש זה, הזכר לו שכבר יש לו חשבון ושאל אם הוא רוצה אפס את הסיסמה.

  • אם כתובת הדואר האלקטרוני עדיין לא בשימוש, אך שם המשתמש הוא, שלח דוא"ל למשתמש הודעת שגיאה המודיעה לו שהוא צריך לבחור שם משתמש אחר ויש לו להמתין זמן הולך וגדל בין כל ניסיון.

  • אם כתובת הדוא"ל ושם המשתמש חדשים, שלח למשתמש קישור אישור הדוא"ל הדורש אימות מחדש עם שם המשתמש והסיסמה החדשים לפני שהופך אותו לרשמי.

  • אל לאפשר לשני משתמשים לקבל שם משתמש זהה מתוך הנחה שאתה יכול לזהות אחד או אחר על בסיס הסיסמאות שלהם. בין היתר, אם שני משתמשים יכולים לשתף את אותו שם משתמש, פירוש הדבר שלעולם אינך יכול לנעול את שם המשתמש עקב ניסיונות כניסה כושלים מבלי להשפיע על משתמשי BOTH. וחלילה, אם אי פעם הם יקראו איכשהו את אותה סיסמה מתישהו, כל הגיהינום ישתחרר.

  • אל תשתמש באותו ערך עבור שם משתמש וזהות ציבורית. אינך חייב בהכרח למנוע ממשתמשים להזין את אותו הערך עבור שניהם אם הם באמת רוצים, אך ברירת המחדל צריכה להיות לאפשר למשתמשים (למשל בדבר פורום הודעות) יש להם כינוי ציבורי שלא בהכרח קשור לשם המשתמש איתו הם נכנסים.

  • אל תקצה ברצף מזהי משתמש. השתמש לפחות בערכים אקראיים של 31, עדיף 62 סיביות, שנוצרו ואומתו כמיוחדים בזמן ההרשמה. הדבר הנחמד בערכי 31 ו -62 סיביות הוא העובדה שהם מתורגמים בקפידה למחרוזות בסיס 36 ו -12 תווים. בעת ניפוי באגים, הרבה יותר קל לזכור מחרוזת של 6 או 12 תווים באותיות קטנות וספרות מאשר בערך עשרוני בן 6-17 ספרות. החלק הקשה ביותר הוא להגיב לבקשות המציינות מזהה משתמש לא חוקי עם תגובות מזויפות, אך לא ניתן להבחין בהן בקלות בין תגובות זיהוי משתמש אמיתיות באמצעים אלגוריתמיים.

זכרו: אינכם יכולים, ולא תצליחו, לעולם להצליח ב -100% למנוע מהתוקף מדי פעם לאמת אם מזהה משתמש או שם משתמש נתון תקפים או לא. המטרה שלך היא להפוך אותו לאיטי ויקר ככל האפשר, מבלי להכביד בצורה בלתי סבירה על המשתמשים האמיתיים שלך. לקבלת אנלוגיה אמיתית, חשוב על קודי אזור DVD ו- Blu-Ray. כששחקן עלה 500 דולר +, קודי אזור היו דרך יעילה למנוע כמעט מכולם לשחק סרטים שנרכשו מאזור אחר. כעת, כשתוכלו לרכוש נגן Blu-Ray תמורת 80 דולר, ובורר HDMI תמורת 20 דולר ולקבל תמורה בחזרה, אין באמת שום דבר שמונע מחובב סרטים לרכוש רק שניים או שלושה נגני Blu-Ray (אחד לאזור הרצוי). ולהעלות אותם דרך מתג ה- HDMI.

עבור כניסות שגרתיות, היה מעורפל בכוונה לגבי הסיבה שבגינה ניסיון ההתחברות הזה נכשל, אך היה שווה מראש לגבי הסיבות האפשריות ... ותן להם פרטי קשר קונקרטיים של מישהו שיכול לסייע להם. עקוב אחר כניסות שנכשלו ונעול את החשבון אם נעשים יותר מדי ניסיונות כניסה נכשלים.

  • אל תגיד להם על הסף שהחשבון זה עתה נעול, או שהוא כרגע נעול ... אבל אל תתבייש להזכיר את זה כאחת מכמה סיבות אפשריות לכך שנסיון כניסה עלול להיכשל. שמירה על העובדה שחשבון עשוי להינעל ממשתמש שמנסה להתחבר לא תועיל לביטחונך.

  • אינך חייב בהכרח לנעול חשבון באופן קבוע למחצה עקב ניסיונות כניסה כושלים. במקרים רבים, כנראה ש אתה לא צריך , כי אז יצרת מניעת שירות של מניעת שירות. אם לחשבון יש יותר מדי ניסיונות כניסה לא מוצלחים, אתה יכול לבצע נעילה "רכה" למשך 1, 6 או 24 שעות, ובנקודה זו המנעול יסיר את עצמו. זהו התרחיש אחד IMHO שבו לגיטימי לומר למשתמש "לנסות שוב מאוחר יותר".

דוגמת הודעת שגיאה שעשויה להיות מוצגת כשניסיון כניסה נכשל:

שם המשתמש ו / או הסיסמה שהזנת לא התקבלו. ייתכן שהזנת שם משתמש לא חוקי, השתמשת בסיסמה שגויה או ניסית להתחבר עם חשבון שנעול עקב ניסיונות כניסה מוגזמים שנכשלו. אם החשבון נעול, אתה יכול לפנות ל _ __ לקבלת סיוע [, או לחכות ל _ שעות עד שהחשבון ייפתח לבדו ]. שים לב שהודעת שגיאה זו תהיה זהה בכל הכניסות שנכשלו, ללא קשר לסיבה.

אל אמור להם "משהו השתבש, אנא נסה שוב מאוחר יותר" אלא אם כן הבעיה תתקן את עצמה ממש. זה לא ישלה תוקף, ויעצבן משתמשים לגיטימיים ברצינות. זה אחד מחבלי המחמד האולטימטיביים שלי, ובראש רשימת "הדברים הנוראיים שהמפתחים עושים בשם תיאטרון הביטחון". מלבד מעצבן להפליא, אם חשבון מישהו נפגע, הדבר האחרון שאתה רוצה שיעשה הוא לחכות עד מאוחר יותר לפני שתביא אותו לידיעת מישהו.

Christian
2013-12-22 02:43:50 UTC
view on stackexchange narkive permalink

זו התנהגות סטנדרטית של פייסבוק שאתה יכול לחפש חשבון אם יש לך את כתובת הדוא"ל המתאימה. בימים אלה הרבה אנשים השביתו את האפשרות הזו, אך זה עדיין המקום שמגיע לפייסבוק.

בעת ביצוע התנהלות בפורום השתמשתי בתכונה זו לעיתים קרובות כדי לאסוף מידע האם חשבון רשום זה הוא חשבון רשום של משתמש אסור.

אתרים המספקים כתובות דוא"ל או שמות משתמש אמיתי הוא דרך לתקוף אנונימיות. אני זוכר מקרה שבו מישהו רשם מחדש מי שהשתמש ב- IP של צומת יציאה TOR. הצלחתי לספר לאדם את שם אמו באמצעות מידע ששיתף בפייסבוק. הדרך למידע עברה דרך ארבעה חישוקים של כינויים שהיו קשורים זה לזה.

גילוי מידע כזה מקל על חברות כמו http://www.spokeo.com/ לפעול.

בכל הנוגע להגנה אתה צריך גם לקחת בחשבון את כל הנתונים הרגישים. קח פורום עם 1000 משתמשים. משתמשים מפרסמים מידע לא מזיק תחת כינוי. משתמש נכנס לפורום עם כתובת דוא"ל המשויכת לזהותו האמיתית.

עם 1000 משתמשים יש סיכוי טוב שאוכל להזדהות עם סטילומטריה ומידע חשוף מי מבין 1000 המשתמשים הוא האדם שאני ' מ 'מחפש. אם אצליח במשימה זו קיבלתי כינוי סודי.

כעת אני יכול להריץ חיפושים בגוגל בכינוי זה וגם לחפש כינוי@gmail.com במאגרי מידע אחרים. קיבלתי גם דוגמת טקסט גדולה יותר כדי להקל על הפעלת התקפות סטילומטריה עתידיות.

לתוקף ברמה הממשלתית שרוצה למצוא מתנגדים יש את המשאבים לשאול הרבה שירותי אינטרנט כדי לבדוק אם קיימות כתובות דוא"ל מסוימות יכול גם להשקיע במערכות סטילומטריה טובות.

אם אתה רוצה להגן על הפרטיות, זה הגיוני להסתיר כתובות דוא"ל רשומות.



שאלה ותשובה זו תורגמה אוטומטית מהשפה האנגלית.התוכן המקורי זמין ב- stackexchange, ואנו מודים לו על רישיון cc by-sa 3.0 עליו הוא מופץ.
Loading...