Tras el incumplimiento de avast: forum.avast.com decidieron alojar la base de datos [email protected]. Mi pregunta es, ¿cuál es el punto de alojar la base de datos de forma externa, ya que cuando obtiene la ejecución remota de código en forum.avast.com (que tiene acceso a la base de datos alojada en id.avast.com) puede robar la base de datos de todos modos? ¿Es así que no se pierden / destruyen datos?
Están utilizando id.avast.com como proveedor de autenticación, no solo como una base de datos externa. Por lo tanto, RCE no le da acceso a él (asumiendo que es una máquina host diferente), SQLi ciertamente no lo hace, y como está en un dominio diferente (origen), tampoco XSS. Ahora han aislado significativamente sus hashes de contraseña del software del foro.
El uso de un proveedor de autenticación es muy diferente a simplemente mover la base de datos a otro host. (Y también considera que hay muchas amenazas distintas de RCE).
Lea otras preguntas en las etiquetas web-application passwords authentication network