UUID in URL: quanto è sicura la scoperta accidentale è la mia soluzione proposta?

Question

UUID in URL: quanto è sicura la scoperta accidentale è la mia soluzione proposta?

#1 da (2 voti)

0

Ecco cosa voglio fare: Creiamo report per i clienti, normalmente li inviamo come pdf ai nostri clienti che li condividono con i colleghi della sua azienda. Vogliamo passare ora ai rapporti digitali.

Il rapporto è accessibile solo tramite URL con UUID
Quando l'utente fa clic sul link, viene reindirizzato da link a link
Il secondo dominio controlla il referente http per l'UUID. Effettuiamo questo reindirizzamento per prevenire il problema quando l'utente fa clic nel report su un collegamento esterno che l'altro server ha l'UUID nei relativi log di riferimento.
Creiamo UUID v4 con l'UUID pacchetto NPM
Tutto è tramite le connessioni https

Le mie domande:

(modificato per evitare duplicati)

I crawler possono trovare l'UUID se non è pubblicato da nessuna parte?
La mia soluzione per reindirizzare la pagina di report separata per evitare il problema con l'esposizione degli UUID nell'URL della richiesta?

Perché non usiamo username / password? Semplicemente perché alla fine con la condivisione del report queste credenziali sono condivise anche nelle e-mail. E o facciamo una lunga password sicura o il client lo fa, ma ci sono buone probabilità che debba condividere una delle sue password standard.

url restrictions

posta urban-a 01.11.2017 - 14:27

fonte

1 risposta

Leggi altre domande sui tag url restrictions

Ha senso memorizzare le chiavi private RSA invece degli hash delle password? Che cosa rende il wifi pubblico così insicuro? [duplicare]

score 2 · Accepted Answer

Non è molto sicuro, ma a seconda di quanto sia effettivamente sensibile il file, puoi considerare i rischi che valgono i vantaggi dell'usabilità.

Can a robot index such pages and their UUIDs?

Sì, se qualcuno ha pubblicato il link al file su Internet pubblico, allora possono essere indicizzati. Con i principali motori di ricerca, puoi chiedere ai motori di ricerca di escludere questa directory utilizzando robots.txt , ma la conformità con i robot .txt sono volontari e ci sono molti altri spider che ignorano robots.txt.

Se vuoi proteggere questo aspetto senza perdere gran parte dell'usabilità, puoi prendere in considerazione la possibilità di richiedere agli spettatori di creare account individuali per accedere al tuo sito. Gli spettatori devono inserire la loro e-mail e convalidare il loro indirizzo inviando un'e-mail con un token di conferma, quindi invierà un messaggio al proprietario del documento per chiedere loro di concedere l'accesso all'utente identificato dalla loro e-mail. Inoltre, è possibile consentire al proprietario del documento di specificare un elenco di domini e indirizzi di posta elettronica a cui verrà automaticamente concesso l'accesso, in modo che non debba concedere manualmente ogni richiesta. La maggior parte delle aziende fornisce ai propri dipendenti indirizzi e-mail su un dominio aziendale, quindi ciò coprirà molti casi d'uso. In questo modo, ogni utente che accede al documento sarà comunque identificato, piuttosto che essere un utente anonimo.

Se davvero non vuoi richiedere agli utenti di creare un account, è possibile implementarlo senza richiedere la password utente, quando l'utente digita la propria email, verrà inviata una e-mail che contiene un link che farà clic che hanno un token univoco che garantisce loro l'accesso al documento per un breve periodo di tempo. Quando il token a breve termine scade, l'utente può richiedere un nuovo token.