¿Es vulnerable permitir que los usuarios conozcan su propia identificación y la de otros usuarios desde una base de datos?

2

Diga, tengo una tabla Usuarios con el ID como un entero. Cada usuario de alguna manera es consciente de su identificación de alguna manera, por ejemplo, en una url a su perfil se incluye la identificación. O está expuesto a ellos de alguna otra manera, no es así. ¿Qué tan sabio es no exponérselo a ellos? ¿Podría ser vulnerable para mí como propietario de un sitio web permitir que mis usuarios conozcan su propia identificación y, por lo tanto, la identificación de otros usuarios? O, en su lugar, ¿debería crear ya sea guid como clave principal, o agregar una columna más llamada "long_id" y exponerla solo porque les será difícil adivinarla?

    
pregunta アレックス 22.11.2016 - 10:01
fuente

2 respuestas

2

Realmente depende de lo que puedas hacer con ese conocimiento, pregúntate a ti mismo las siguientes preguntas:

  • Como usuario del sitio, ¿necesito saber mi ID para usarla?
  • Si un usuario conoce su propia ID, ¿qué significa eso realmente?
  • Si un usuario conoce el ID de otra persona, ¿qué conocimiento o acceso les otorga?

Finalmente, si la ID se usa dentro de una URL que muestra los detalles de alguien, ¿cambiar esa ID y mostrar los detalles de otra persona? Si es así, entonces eso es un problema de control de acceso, no necesariamente un problema con el conocimiento de la ID.

Independientemente de conocer las ID como atacante, me interesaría obtener la menor cantidad de ID posible, ya sea 1 o 0, ya que suelen ser el usuario administrador dentro de la aplicación.

    
respondido por el Colin Cassidy 22.11.2016 - 10:17
fuente
0

Por lo general, sí lo es. Nunca debe tener la necesidad de pasar el ID de usuario a través de la cadena de consulta.

Debería usar la cookie enviada por el usuario, luego buscar la cookie en su base de datos para recuperar el ID de usuario.

Al pasar el ID de usuario a través de una cadena de consulta, puede crear vulnerabilidades como permitir cambiar la cadena de consulta manualmente y eludir la autorización de los usuarios al permitir realizar cambios en cuentas diferentes a la propia cuenta del usuario.

    
respondido por el Aria 22.11.2016 - 10:24
fuente

Lea otras preguntas en las etiquetas