Devo convalidare gli input del modulo di autenticazione?

Mi dispiace, non ho la parte sulla tua preoccupazione con gli attacchi temporali. Finché le password sono correttamente hash e il confronto viene eseguito sugli hash, la tua applicazione dovrebbe essere al sicuro da questo tipo di attacco ai canali laterali. Se una chiamata al database è stata effettuata o meno (2s vs 1s) non perde nessuna informazione sulla tua password.

È sempre opportuno convalidare gli input dei moduli, indipendentemente dal fatto che siano memorizzati nel database, nel caso in cui la query del database sia suscettibile a un'iniezione SQL. Questa strategia è conosciuta come difesa in profondità . Non si sa mai quando il parser di query è reso vulnerabile da alcuni strani input dell'utente come il recente exploit shellshock.

In realtà non c'è un grosso problema di sicurezza se si segnala il login fallito mostrando singoli errori o raggruppandoli. Ciò che un utente malintenzionato può ottenere da qui (se un indirizzo e-mail è valido) può anche essere ricavato dalla pagina di registrazione cercando di registrarsi con quell'indirizzo email.

La convalida del formato del campo dell'indirizzo e-mail o della password per essere vuoti può essere eseguita sul lato client e non comporta un attacco temporaneo, perché non viene eseguito alcun confronto con l'hash effettivo della password (o password) che è memorizzata sul lato server.

L'attacco di temporizzazione si verifica se l'operazione di confronto non è implementata correttamente.

Consideriamo uno scenario in cui, L'ipotesi dell'attaccante="12345678" Password effettiva="password"

Dopo aver inviato la password indovinata, il server dovrebbe completare il controllo e non restituire il risultato dopo la prima mancata corrispondenza. Nel caso precedente, la prima mancata corrispondenza è al primo carattere in sé dal 1! = P. Se il server segnala questo risultato, l'utente malintenzionato scopre che la password indovinata era completamente sbagliata. Il server dovrebbe confrontare ogni lettera di password indovinata con la password effettiva e restituire il risultato. Nello scenario precedente tutti gli 8 caratteri devono essere confrontati e, infine, l'utente malintenzionato dovrebbe ricevere una notifica relativa al nome utente o alla password non validi.