Quando scarichiamo un'applicazione - ci chiede se va bene inviare statistiche, segnalazioni di errori al venditore. Poiché questi dati vengono inviati dall'applicazione all'endpoint del server, mi chiedo come funzioni l'autenticazione in questo scenario. Si basa su un certificato che risiede nell'applicazione o su una chiave di crittografia concordata?
È altamente improbabile che si tratti di un componente significativo del modello di minaccia per la maggior parte dei sistemi di segnalazione degli errori. In genere sarà troppo difficile creare dati falsi che sembrino sia dati reali per il sistema, sia raggiungere obiettivi arbitrari dannosi per l'avvio. Sarebbe molto lavoro per un guadagno dubbio.
Detto questo, ci sono modi in cui puoi potenzialmente limitare l'impatto dei dati non validi. Ad esempio, è possibile includere i numeri di serie della registrazione del software con i report. Quindi si generano rapporti provenienti da origini non valide (dati che contengono numeri seriali non registrati ai clienti) o si eliminano tutti i dati inviati con un determinato numero seriale se si ottengono dati eccessivi o noti non validi nei report con tale numero di serie.
Quindi, il rischio (e l'impatto) può essere limitato, ma in genere non vale la pena di mitigare in primo luogo.
Leggi altre domande sui tag authentication encryption