Gestione della violazione della privacy degli utenti registrati durante l'autenticazione fallita

Mi piace come il GDPR afferma : "attuare misure tecniche e organizzative adeguate". Ora dovresti adottare un approccio basato sul rischio per definire appropriato. In casi sensibili come second love questo sarebbe totalmente diverso per un servizio più generico come i social media. Quindi no non sei persa esagerato, ma dipende dal contesto di rischio, e o se i dati sono già disponibili pubblicamente. Ad esempio il mio account github mostra la mia email nei commit.

Il principio Privacy by Design Funzionalità completa - Somma positiva, non Somma zero afferma:

Privacy is often positioned in a zero-sum manner as having to compete with other legitimate interests, design objectives, and technical capabilities, in a given domain. Privacy by Design rejects taking such an approach – it embraces legitimate non-privacy objectives and accommodates them, in an innovative positive-sum manner.

Quindi, mi piace come stai cercando di trovare un modo per essere sia user-friendly, sicuro, ma anche rispettare la privacy. Sembra che tu possa trovare un nuovo modo innovativo, assicurati di condividere le tue scoperte.

Per essere sicuro, puoi sempre inviare la stessa risposta che non espone nulla. Potresti fare test di usabilità per vedere se questo è davvero un problema. Personalmente penso che se non riesco ad accedere e immediatamente viene visualizzato un link per la reimpostazione della password, che è più user-friendly. Dal momento che questo spesso il passo successivo prendo. Se la risposta è stata inviata, il link per la reimpostazione della password è stato inviato, ma se l'account non esiste, si invierà invece un'e-mail di registrazione, che risulterebbe anche user-friendly. Come ora posso semplicemente iscriverti. Senza esporre se ho già un account al pubblico.

Simile puoi sempre gestire il processo di registrazione via e-mail, in questo modo sai che il proprietario è l'unico a sapere che il suo account è già esistito. Un'email come: Ciao, il tuo indirizzo email ha già un account, vuoi reimpostare la tua password?

Ora, se tutto fallisce, potresti chiedere agli utenti esistenti di dare il consenso di esporre che stanno usando il sistema, allo scopo di renderlo più facile da usare. Abbastanza sicuro che non sia una buona idea però ...

È una domanda interessante, perché non ho mai pensato a questo problema, ma è davvero un problema di privacy. Il problema è che alcune procedure in realtà perdono informazioni, che possono anche essere informazioni sensibili. Per evitare ciò, la tua applicazione dovrebbe apparire come si comporta nello stesso modo in tutti i casi in cui le informazioni sensibili potrebbero essere trapelate. Ciò significa che se si consente agli utenti di registrarsi liberamente inserendo un messaggio di posta elettronica e una password, ad esempio, il processo di registrazione deve apparire come se si comportasse nello stesso modo, indipendentemente dal fatto che abbia esito positivo o meno. Non puoi avere un comportamento "Grazie per la registrazione" e anche un comportamento "C'era qualche problema". Dovresti considerare che il processo di registrazione abbia sempre successo.

Thanks for registering! An email has been sent to you for activation, etc.

Se l'utente è già registrato, non invierai effettivamente un link di attivazione ma potresti inviare un avviso come "Sei già registrato, hai dimenticato la password? Se non hai provato a registrarti nuovamente sul nostro sito web , quindi qualcun altro potrebbe aver inserito la tua email per errore durante la registrazione e puoi ignorare questa email, ecc. "

Per gli accessi non è davvero un problema finché un login fallito avvisa l'utente che "l'e-mail o la password non sono corretti, assicurati che entrambi siano stati digitati correttamente". Penso che questo approccio sia comunemente usato, l'ho visto in giro e non confonde l'utente.

Reimpostare la password dopo aver fornito un indirizzo email dovrebbe funzionare nello stesso modo: stesso comportamento, quindi rispondi sempre con "È stata inviata un'e-mail con le istruzioni di ripristino", indipendentemente dal fatto che l'e-mail fosse effettivamente registrata o meno.

ATTENZIONE. Poiché questa è una comunità INFOSEC, per completezza devo avvertirvi che "lo stesso comportamento apparente" di solito include anche la prevenzione degli attacchi temporali. Supponiamo che qualcuno tenti di registrarsi utilizzando una nuova e-mail e che la pagina per la registrazione corretta impieghi 3 secondi per essere visualizzata. Supponiamo ora che qualcuno tenti di registrarsi utilizzando un messaggio di posta elettronica già esistente e la pagina per la registrazione corretta (stesso comportamento apparente) impiega solo 1 secondo a comparire, perché internamente l'applicazione ha eseguito diversi compiti (diverse ricerche nel database, diversi tipi di email inviate, eccetera). Questa differenza di tempo può effettivamente essere sfruttata perché trapelano informazioni. Non sempre gli attacchi temporali sono fattibili, perché la differenza di tempo potrebbe essere troppo piccola o richiedere molti tentativi prima che la differenza sia statisticamente significativa e potrebbe non essere facile da mitigare. Tuttavia, penso che valga la pena menzionare in questo caso. Potrei sbagliarmi, ma probabilmente non dovresti preoccuparti degli attacchi temporali nel tuo caso specifico (potrebbe essere eccessivo), a meno che il ritardo non sia facilmente percepibile senza ripetuti tentativi e ti occupi di informazioni molto delicate.