È pull intrinsecamente più sicuro di push?

Question

È pull intrinsecamente più sicuro di push?

#1 da (1 voti)

1

Gli utenti di un servizio sono in attesa che qualcosa accada, ad esempio un trasferimento di denaro.

Un utente malintenzionato potrebbe falsificare una notifica email, che esegue un attacco XSRF.

In alternativa, potrei lasciare all'utente la possibilità di ricontrollare come e quando vogliono, visitando una pagina web. Oltre https, la notifica che ricevono è crittografata e firmata come autentica.

I miei esempi sono prevenuti contro i difetti della posta elettronica. Esistono molti diversi tipi di sistemi di messaggistica push and pull.

Detto questo, sono curioso di sapere se c'è qualcosa di intrinsecamente più sicuro nei progetti basati su pull?

phishing

posta user2800708 15.04.2016 - 17:36

fonte

1 risposta

Leggi altre domande sui tag phishing

Spero che qualcuno possa far luce su questi risultati di scansione nmap Wireshark come scanner di rete [chiuso]

score 1 · Answer 1

Non penso che ci sia una grande differenza tra i due modelli. Se si implementa il modello "push", che chiamerò il modello "notifica", l'utente può comunque accedere al sito prima di ricevere la notifica. Se si implementa il modello "pull", che considero il modello di "polling", un utente malintenzionato può ancora inviare all'utente l'e-mail con una notifica falsificata, convertendo in modo efficace il modello di polling senza notifica in un modello di notifica (l'utente malintenzionato dovrebbe sapere che ci si aspetta che una notifica raggiunga questo obiettivo in modo efficace). Quindi, in entrambi i casi, stai fondamentalmente supportando entrambi i modelli.

Alla fine, l'utente deve essere sufficientemente sofisticato per evitare di fare clic su collegamenti errati nella propria posta elettronica e, in generale, evitare di accedere a siti Web errati. Se non lo sono, allora sono aperti al phishing e ad altri attacchi. Implementa 2FA , considera qualcosa come U2F , istruisci i tuoi utenti sugli attacchi di phishing e assicurati che il tuo team di supporto sappia come rispondere ai problemi.