¿Qué factores aumentan la probabilidad de duplicar un GUID?

Un GUID es solo un formato de datos. Hay muchas formas de generar un GUID. La dificultad de adivinar un GUID depende de cómo se genera.

Personalmente, me resistiría a usar un GUID como un token no presumible. No fue diseñado para ese propósito , y para algunos métodos de generación de un GUID, será inseguro. No es una buena idea hacer que su arquitectura de seguridad se base en un mecanismo que no fue diseñado para la seguridad y que probablemente sea frágil.

Si necesita una cita para esto, podría hacerlo peor que citar la fuente original: la sección de Consideraciones de seguridad de RFC 4122 (la especificación de GUID). Dice:

Do not assume that UUIDs are hard to guess; they should not be used
as security capabilities (identifiers whose mere possession grants
access), for example.

Vea también ¿Son seguros los GUID para tokens de una sola vez? .

En cambio, recomiendo usar un generador criptográfico pseudoaleatorio para generar un token de un solo uso de 128 bits. Esto es fácil de hacer; simplemente usa CryptGenRandom() , /dev/urandom , java.security.SecureRandom , o el equivalente para su plataforma para generar el token de un solo uso de 128 bits.

He visto spoofers GUID así que ... El concepto está ahí fuera. Estoy seguro de que, dado el tiempo, un atacante determinado podría duplicar el GUID incluso contra el nuevo estándar.

Tal vez, una alternativa sería no basar la autenticación en el tiempo y el lugar, sino que, en su lugar, garantizar que la autenticación sea única para el individuo (no la máquina / terminal). En segundo lugar, que los datos están completamente encriptados del remitente al receptor. PGP viene a la mente, pero una vez que comienza a proteger todo, la red también tiene que estar preparada para aceptar la sobrecarga adicional.

Los administradores de redes comienzan a quejarse ahora mismo, y luego los ejecutivos solo ven $$$, y rechazan o diluyen el proceso para que se realice, "lentamente pero, seguramente ..."

Si se está preparando para presentar esto, le sugeriría que les muestre que perderán más $$$ a la larga, por el hecho de ser inseguros, lo harán si están asegurados. Aman los números sin importar si es - o +. Es su lenguaje, como los términos técnicos son los nuestros. Investigación, lo que los hackers están investigando. En este caso, Google será útil. Piensa que el atacante también lo tendría por un segundo, y ve a dónde te lleva.

Espero que ayude ;-)