¿Debemos impedir el acceso a información no confidencial?

6

Estoy teniendo una discusión con los desarrolladores a medida que desarrollamos una aplicación web que involucra usuarios, contenido generado por el usuario, un área de administración, API y contenido estático.

Cualquier persona puede acceder a la mayoría de la información de la plantilla, como la plantilla de la cuenta de usuario , donde los usuarios verían y actualizarían su información. La url de la plantilla requiere muy poca búsqueda y no es necesaria la autenticación. Lo mismo ocurre con la mayoría de las plantillas de administración, ninguna de las cuales funcionará correctamente sin la autenticación correcta, pero sigue siendo accesible para su lectura.

Esto permite que cualquier persona (especialmente usuarios autenticados) obtenga una comprensión sólida de cómo funcionan la aplicación web y la API. La prevención del acceso a esta información solo proporcionaría una capa de oscuridad, ya que los métodos de API y las funciones internas seguirían funcionando de la misma manera: las personas solo tendrían que hacer más suposiciones.

Actualmente nuestros razonamientos son,

Sí, deberíamos impedir el acceso : solo proporcione los recursos necesarios, cualquier cosa más fomentará el comportamiento malicioso.

No, no deberíamos impedir el acceso : es mucho trabajo adicional, agrega complejidad y, si tenemos un problema de seguridad, esto solo brindaría claridad.

Así que mi pregunta es:

  

¿deberíamos ( y hacer otras ) impedir el acceso a este tipo de información no confidencial?   información?

Después de una discusión adicional, alguien sugirió esta política de pesadilla:

los recursos gráficos, como el icono de cierre de sesión, solo deben estar disponibles para los usuarios autenticados y los orígenes que se espera que muestren el icono.

    
pregunta 8eecf0d2 24.08.2016 - 07:20
fuente

2 respuestas

3

No impida el acceso. No hagas las cosas difíciles para tu equipo. No introduzca complejidad gratuita, es el enemigo de la seguridad y un camino seguro hacia la deuda técnica. No mires a la ofuscación, a un atacante que es una clara señal de que se han pasado por alto defensas más obvias.

    
respondido por el Jonah Benton 24.08.2016 - 16:02
fuente
1

Esto se reduce básicamente a la confianza que tiene en que su implementación es segura.

Si hay vulnerabilidades que se pueden descubrir al examinar esta "información no confidencial", entonces sería prudente ocultarla mientras trabaja en las correcciones.

Sin embargo, si ha realizado una auditoría, una prueba de penetración, una evaluación de seguridad u otra prueba de seguridad en su implementación y no tiene vulnerabilidades, no vale la pena esforzarse en ocultarla por el bien de la misma.

    
respondido por el SilverlightFox 24.08.2016 - 16:19
fuente

Lea otras preguntas en las etiquetas