Consultas de búsqueda generadas por el usuario

0

¿Las consultas de búsqueda generadas por el usuario se clasifican como datos confidenciales?

Por ejemplo, si una aplicación coloca PII de una consulta de búsqueda como nombres, fecha de nacimiento, direcciones, etc. en la cadena de consulta de una URL (solicitud GET de HTTPS), asumí que esto sería información confidencial que debe estar protegido, es decir, no usar GET, usar POST, según CWE .

Sin embargo, algunos colegas no están de acuerdo con la protección de estas URL porque dicen que "el contenido generado por el usuario no es confidencial, ya que pueden ser datos que no existen, o los datos de búsqueda pueden enviarse a través de otros métodos, por ejemplo, correo electrónico". No estoy de acuerdo con esto, pero estaba buscando una opinión experta sobre si las consultas de búsqueda generadas por el usuario pueden o no técnicamente contener PII, ¿son sensibles?

    
pregunta qwrez 20.03.2018 - 16:13
fuente

2 respuestas

0

Las decisiones de privacidad se basan en los peores escenarios (es decir, si una consulta puede contener datos privados) y no en los mejores escenarios (es decir, si una consulta puede contener datos públicos).

Las consultas de búsqueda se convierten en PII cuando pueden asociarse con una persona específica, lo que se puede hacer a través de identificadores en los registros (direcciones IP, nombres de usuario, cookies, etc.) y también a través de las consultas mismas ( ataques de inferencia y agregación ).

En mi opinión, la respuesta a su pregunta es sí: se espera que las consultas de búsqueda genéricas (es decir, no relacionadas estrictamente con los dominios que excluyen el uso de PII) contengan información personal y sensible, y como tales deben estar adecuadamente protegidas: entre otras cosas, deben viajar en forma cifrada y no pueden registrarse en registros (incluidos los registros de proxy) a menos que estos últimos también estén protegidos adecuadamente.

    
respondido por el Enos D'Andrea 20.03.2018 - 22:20
fuente
0

La diferencia principal entre las solicitudes GET y POST es que en las solicitudes GET una tercera persona puede ver la información que se pasa a la aplicación solo con ver la URL, algo que no hace. No suceda con las solicitudes POST. Es por esto que se considera mejor y más seguro para usar POST en lugar de GET http-method para datos confidenciales.

Sin embargo, tenga en cuenta que, desde una perspectiva de seguridad, si alguien de alguna manera logra ejecutar con éxito, por ejemplo un ataque MITM a la red, él podrá recuperar no solo GET sino también los parámetros / datos de POST, así que asegúrese de que cuando pase datos confidenciales a su aplicación, los pase encriptados, por lo que enlace combinado con HSTS en este caso, juega un papel muy importante para proteger su aplicación y sus clientes de atacantes remotos.

¿Ahora sobre qué se considera información sensible? No soy un abogado, pero creo que los datos confidenciales deben ser protegidos por cualquier acceso no autorizado. También eso depende de la aplicación. Por ejemplo, Facebook permite a los usuarios autenticados ver parte de su información (si configura sus ajustes para que lo haga), por lo que en este caso, le corresponde al usuario seleccionar qué compartir y qué mantener en privado ( por supuesto, algunas cosas). debe mantenerse privado, como contraseñas, números de seguridad social, números de tarjetas de crédito, etc. ... ).

Además, si la funcionalidad de la aplicación utiliza parte de la información del usuario y se debe pasar a la aplicación con frecuencia (, por ejemplo, el correo electrónico del usuario para la autenticación ), pero no es necesario que estén visibles, entonces es mejor para ocultarlos y, cuando sea necesario, pasarlos a su aplicación utilizando POST en lugar de GET. De esta forma, puedes prevenir ( o, al menos, desanimar ) algún tipo de ataques como los ataques de fuerza bruta. Imagine que la complejidad de tal ataque se reduce de O (n ^ 2) a O (n) cuando el atacante conoce el nombre de usuario o la contraseña y no tiene Adivinar la combinación correcta.

    
respondido por el game0ver 20.03.2018 - 16:42
fuente

Lea otras preguntas en las etiquetas