Quali sono gli svantaggi di registrare qualcuno sul registro?

Question

Quali sono gli svantaggi di registrare qualcuno sul registro?

#1 da (4 voti)

1

Quindi presumendo un sistema di autenticazione nome utente / password (non un SSO) se si registra un nuovo utente, qual è lo svantaggio di registrarli prima di verificare il proprio account via email?

Supponiamo che registrandoli non possano accedere a contenuti sensibili o alla possibilità di fare qualcosa come addebitare una carta di credito.

La maggior parte dei software che ho incontrato lo fa. "clic registrati" - > "Compila modulo" - > "invia email" - > "attiva account" (a volte consente l'accesso simultaneo) - > login.

quello che sto cercando di capire è se c'è un buco di sicurezza da fondamentalmente prendendo un modulo di login (mi hai dato un nome utente / password) "clicca registrati" - > (l'account è stato creato e tu hai effettuato l'accesso); o "fai clic su registrati" - > "Compila modulo" - > "conferma e accedi".

Ovviamente ci sono vantaggi / svantaggi dell'esperienza utente, ma ho cercato di capire se ci sono implicazioni sulla sicurezza di fare questo. L'unica implicazione sulla sicurezza che riesco a pensare sono gli account SPAM, in cui qualcuno crea automaticamente gli utenti.

Sto solo cercando di assicurarmi che non stia commettendo un errore come non usare un nonce in un link di reimpostazione password (non correlato). Come forse c'è qualcosa di relativo alla sicurezza che non so che non lo so.

registration

posta xenoterracide 18.08.2016 - 06:50

fonte

1 risposta

Leggi altre domande sui tag registration

Controllo di sicurezza OAuth2 Autorizzazione e server di risorse Nel contesto di un CVE, cosa significa "vettori non specificati"?

score 4 · Accepted Answer

Stai introducendo un enumerazione utente falle nel tuo sistema.

Cioè, ogni attaccante può scoprire se [email protected] è un utente sul tuo sistema completando la procedura di registrazione.

Questo è utile per un utente malintenzionato per due motivi:

Come da articolo sopra riportato

As an attacker if I can use your login or forgotten password page to narrow my list from 10000 targets to 1000 targets, I will.
In una campagna di phishing, l'utente malintenzionato sa esattamente a chi inviare le sue email.

C'è anche un problema di privacy, specialmente se il tuo sito è qualcosa di sensibile come Ashley Madison.

Se quanto sopra ti riguarda, puoi mitigarlo richiedendo all'utente di riconoscere prima l'e-mail di attivazione. Vedi questa risposta .

In caso contrario, poiché non stai consentendo loro di accedere a contenuti o azioni sensibili, c'è un piccolo rischio extra. Se lo fosse, potrebbe semplicemente avere un flag nel database: EmailConfirmed = 1 or 0 , che consentirà al tuo sistema di sapere se è possibile che l'indirizzo email sia autentico.

Inoltre, non verificare gli utenti può essere un fastidio quando un indirizzo e-mail viene digitato in modo errato o inserito di proposito da un'altra persona, in quanto l'account viene accovacciato e l'utente reale non può quindi registrare il proprio account.

A volte l'utente reale dell'account può riprendere il controllo completando la procedura di reimpostazione della password, anche se il suo account sarà macchiato da qualsiasi impostazione del precedente occupante. Di nuovo, questo dipende dal sistema, ma se ci sono impostazioni sensibili come indirizzi e-mail di recupero extra o chiavi di accesso, o altre sessioni attive, allora ci dovrebbe essere un modo per gli utenti di resettare il loro account in uno stato nuovo dopo ogni incidente accovacciato. / p>

L'altra cosa che può rendere complicato il reset è se viene utilizzata l'autenticazione a due fattori. Qualsiasi reimpostazione della password da parte del proprietario del vero indirizzo e-mail sarebbe ostacolata a causa della mancanza del secondo fattore disponibile. In questo caso, sarebbe molto più semplice convalidare l'indirizzo email al punto di registrazione, altrimenti le cose potrebbero complicarsi altrimenti.