Aquí hay una serie de cuestiones que deben considerarse y algunas con demasiada frecuencia
Cita declaración engañosa de seguridad a través de la oscuridad.
Para abordar la seguridad a través de declaraciones de oscuridad. Hacer algo oscuro hace
No implica automáticamente la seguridad a través de la oscuridad. La noción de seguridad a través de.
oscuridad se refiere a la práctica de confiar únicamente en la oscuridad para el
seguridad. Es perfectamente aceptable y, en algunos casos, incluso una buena práctica
incorporar la oscuridad en un control de seguridad.
Como ejemplo de las diferencias. Considere la posibilidad de telnet, que es inherentemente inseguro
Porque envía contraseñas en texto plano. Moviendo el servicio telnet desde su estándar.
puerto a algún otro puerto y creyendo que esto ha solucionado el problema de seguridad es
Seguridad a través de la oscuridad. No ha abordado el problema subyacente del texto plano.
las contraseñas se transmiten y no se basa en que nadie rastree el tráfico destinado a ese
puerto no estándar para mantener la seguridad.
Por otro lado, puede decidir cambiar su servicio ssh a un sistema no estándar
Puerto. Esta decisión puede deberse a que tiene un sistema en el que solo inicia sesión y
has notado muchos intentos de acceso a fuerza bruta a través de ssh. Moviendo este servicio
a otro puerto no estándar reducirá el número de intentos de fuerza bruta contra
su servicio de ssh Como usted es el único que lo usa, no representa una diferencia significativa.
inconveniente y aunque ha hecho que el servicio sea más oscuro, no está clasificado como
seguridad a través de la oscuridad porque moverlo a otro puerto no es la única seguridad
proteccion. Ha reducido su exposición a amenazas, pero todavía está utilizando todas las
otra buena práctica estándar que tendría para un servicio ssh.
La oscuridad en la seguridad es un control común y perfectamente aceptable siempre que no lo sea.
el único control en el que confías.
Con respecto a la pregunta original para indicar si el correo electrónico o nombre de usuario es
válido cuando se realiza una operación de recuperación de contraseña es una buena idea, realmente depende
en muchos otros factores. Los controles de seguridad deben ser evaluados dentro del contexto
se están aplicando a Tenemos pautas generales de "mejores prácticas", pero estas son
Solo eso, pautas, no reglas. En general, no queremos proporcionar información.
a los atacantes que pueden usar para ayudarlos en su ataque. Sin embargo, también necesitamos
para considerar el valor del recurso que estamos protegiendo.
Por ejemplo, uso un servicio de lector de fuentes RSS. Para mí, este es un riesgo bajo.
solicitud. No hay mucho valor para un atacante. Si me olvido de mi
contraseña e intente usar la función de contraseña olvidada y simplemente me dice que falló
en lugar de decirme que tenía la dirección de correo electrónico incorrecta, entonces probablemente será más
frustrante de lo necesario. Podría ser que tuviera un error tipográfico en la dirección que ingresé y
Sería realmente útil saber que la dirección era incorrecta. Sé entonces que el problema es
Con lo que entré. Decirme algo demasiado genérico me impide intentar
diagnosticar lo que estaba mal - fue algo incorrecto que ingresé, es un problema con
su servidor, ¿qué?
Por otra parte, probablemente no quiero que mi banco use una función de contraseña olvidada
que proporcionará información adicional, como el nombre de mi cuenta a un atacante. En
En este caso, tal vez un mensaje que indique que la funcionalidad de contraseña olvidada tiene
fallaría y me pediría que contactara con el soporte telefónico sería más apropiado. Si en el
Por otro lado, el problema es con mi cuenta de Gmail, probablemente no estoy tan preocupado.
Porque es trivial para determinar las direcciones de correo electrónico válidas e inválidas simplemente utilizando básica
Comandos SMTP al servidor.
El punto básico es que debe equilibrar la experiencia del usuario y la seguridad. Necesitas
comprender cuáles son los vectores de amenaza y cuáles son los controles apropiados para el
Recurso protegido. No siempre hay que haber esto o aquello - todo viene
hasta el contexto.