Ho un'applicazione web e ho implementato un controllo sul browser per garantire che un utente imposti solo password complesse. Una società che abbiamo chiamato per verificare le vulnerabilità della sicurezza ha sottolineato che questo non è sufficiente perché l'utilizzo di un hacking può ignorare il controllo e impostare una password debole.
Non capisco come possa essere una vulnerabilità di sicurezza. Perché qualcuno dovrebbe hackerare il controllo di sicurezza solo per impostare una password debole? Qualcuno esperto abbastanza per hackerare l'applicazione web capirà l'importanza di utilizzare una password complessa.
L'unica ragione per cui posso pensare è che qualcuno, molto molto pigro, può decidere di modificare l'assegno solo per avere una password più facile da ricordare. Non so quanto sia probabile questo caso.
So che non è possibile applicare una password complessa sul lato client e che se è necessario avere una password complessa in qualsiasi circostanza, è necessario farlo sul lato server.
Il mio punto è: dato che, per avere un'esperienza utente accettabile, dobbiamo eseguire il controllo sul lato client, ci deve essere una buona ragione, un caso d'uso reale che crea una possibile vulnerabilità per giustificare una duplicazione di il controllo sul lato server.
Leggendo le risposte, finora, sembra che l'unico caso d'uso in grado di creare una vulnerabilità sia quando il javascript non funziona. Questo non mi sembra un problema perché il pulsante di invio è disabilitato per impostazione predefinita.