¿Las mejores prácticas para el servicio de datos confidenciales?

Question

¿Las mejores prácticas para el servicio de datos confidenciales?

#1 de Neil Smithline (1 votos)

1

Nuestro proveedor de facturas sirve imágenes de facturas a través de http y no requiere ningún tipo de autenticación.

 EX: http://example.com/companyid/image.php?id=Lhjjfkedhf_739567395

El uso de HTTPS sería un buen comienzo, pero ¿qué hay de cómo se genera la identificación? Afirman que se genera de forma aleatoria y no sigue una secuencia, pero ¿existe algún riesgo en que alguien escriba una secuencia de comandos para intentar hacer ping a identificadores aleatorios para ver qué devuelve una respuesta?

El primer directorio es un directorio de la compañía, por lo que cualquier intento de fuerza bruta aún permitiría al hacker filtrar por el ID de la compañía.

tls random

pregunta iliketolearn 10.03.2016 - 15:23

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls random

Dispositivo de dispositivo GPG / Bitcoin usb SSL mutuo: uso de CA pública para la firma de CSR de autenticación de cliente

score 1 · Accepted Answer

Descargo de responsabilidad: Sin conocer los detalles específicos de cómo se genera el ID, todo es solo una suposición.

La ID, Lhjjfkedhf_739567395 , parece ser una concatenación de dos componentes, una cadena de mayúsculas / minúsculas de 10 caracteres y un número de 10 dígitos. Suponiendo que sea correcto, hay 52 valores ¹⁰ posibles para la cadena y 10 valores ¹⁰ posibles para la parte numérica. Me parece muy poco probable que estos valores sean independientes (aunque con una muestra de uno, es difícil saberlo). Así que supongamos que solo la parte de la letra es verdaderamente aleatoria y que la parte numérica es alguna identificación interna que utilizan.

52 ¹⁰ tiene un orden de magnitud de 10 ¹⁷ . Como este es un número tan grande (hay aproximadamente 10 segundos ⁷ en un año), significa que la gran mayoría de los valores posibles no se utilizarán. Como tal, iterar a través de ellos o adivinar al azar los valores para encontrar uno usado, especialmente porque parece que necesita hacer una conexión de red para confirmar cada conjetura, tomaría un tiempo prohibitivamente largo.

Este análisis solo será correcto si las conjeturas iniciales que hice sobre el formato de las ID son correctas y si utilizan un generador de números aleatorios seguro. De lo contrario, la situación podría ser mucho peor.