Stavo leggendo una richiesta su meta Stack Exchange: Richiesta di un popup informativo prima eventuale votazione in serie . Ha ricevuto due risposte apparentemente ben informate da utenti ben informati, e ho ritagliato le parti rilevanti delle risposte:
This would openly reveal the algorithms used to detect serial voting. Serial voting isn't a problem that only exists if you hit X votes but not X-1 votes. We don't know exactly the algorithm works, but imagine it was 10 votes on a single user in a week: if it warned you when you were about to do vote number 10, then anyone who wanted to manipulate votes in this way would just stop, and wait a few days until the popup stopped being shown to them.
...
The parameters of serial-vote detection are intentionally kept private. The last thing we want to do is to tell people who intentionally engage in this behavior how to avoid detection.
Per me, questo assomiglia ai segni rivelatori di sicurezza attraverso l'oscurità, e girovagare un po 'sembra che il sito SE oscuri di proposito la nostra logica di rilevamento dello spam, anche se Charcoal sembra fornire motivi di individuazione dello spam individuale per scopi di debug. Sembra anche che altri siti di grandi dimensioni oscurino il rilevamento dello spam e votino la logica di rilevamento della manipolazione (Amazon, Steam e Youtube, per quanto ne so)
Una delle prime cose che ho imparato sulla sicurezza dei computer è che l'oscurità tende a essere una cosa negativa e non dovrebbe essere invocata. Inizia assumendo che il tuo avversario conosca la tua configurazione di sicurezza e lo includa nel tuo modello di minaccia. Tuttavia, quando si tratta dei nostri strumenti e strumenti di rilevamento dello spam da altri siti, sembra che l'oscurità sia la pietra angolare delle misure di sicurezza, con l'assunto che l'avversario non conosca la logica che gli strumenti stanno usando e se lo sapessero allora gli strumenti sarebbero inutili. Anche il tag su questa domanda nota esplicitamente che lo strumento non dovrebbe fare affidamento su solo sull'oscurità, eppure eccoci qui.
Sto facendo l'ipotesi consapevole che un ragazzo con un celibato CS non è più intelligente degli amministratori di sicurezza di SE. Quindi la domanda è: dov'è il problema con la mia comprensione? C'è qualche differenza fondamentale nel rilevamento dello spam e nella sicurezza convenzionale in quanto si applica al principio di Kerckhoff che non sto prendendo in considerazione, anche se entrambi sono progettati per impedire agli utenti malintenzionati di danneggiare i dati?