Kullanıcılar için psikolojik olarak sinir bozucu bir durum yaratmak, onları daha az güvenli kararlara yöneltebilir.Örneğin, İsveççe bir şifre yazmaya çalışıyorlar, ancak girişiniz açıklama olmadan å karakterini reddediyor. å olmadan farklı bir iyi şifre seçmek yerine, ellerini havaya kaldırıyorlar ve password123 kullanıyorlar - bir sözlük saldırısıyla kolayca yenilebilir.

Dolayısıyla, belirsizlik yoluyla "daha güvenli" bir sistem oluşturmaya çalıştınız, ancak kullanıcı davranışlarını hesaba kattığımızda, aslında daha az güvenli hale geliyor.

Geçerli karakterler nihayetinde sistematik yollarla keşfedilebilir.Bunları gizlemek, kullanıcı davranışlarına verebileceğiniz zarara değmez.

Daha fazla okuma için bkz. " Güvenlik ve Bilişsel Önyargı: Aklın Rolünü Keşfetme" ve " Bilişsel Davranışsal Aracı Tabanlı Modelleme Kullanarak Parola Politikalarının Güvenlik Etkilerini Ölçme "Sean Smith ve ark.

Duruma göre değişir.

İleti, normal kullanıcılar açısından "3. karakter bir rakam olmalıdır" gibi bir hatayı açıklıyorsa, bu bir güvenlik açığı değildir. Ancak, doğrulama için kullanılan normal ifadenin görüntülenmesi uygulama ayrıntılarının açıklanması anlamına gelir ki bu bir zayıflık olabilir , ör. bazı kitaplıklar özyinelemeli çağrıları yoğun olarak kullanır ve bazı ifadeler yığın taşmasına veya yüksek bellek ve CPU kullanımına neden olarak DoS'ye yol açabilir.

CWE-200, yalnızca kullanıcının bu bilgilere erişme yetkisine sahip olmaması durumunda bilgilerin ifşasını bir zayıflık olarak tanımlar. Kullanıcı girdisini düşünüyorsunuz. Bu, kullanıcının bu bilgileri girmesine ve bu nedenle bu bilgileri görmesine izin verildiği ve doğal olarak bu girişle ilgili tüm doğrulama hata mesajlarını görmesine izin verildiği anlamına gelir.

Yığın izleme ve diğer teknik mesajlar, uygulamada kullanılan teknolojiler (ör. hangi kitaplıkların hangi sürümünün kullanıldığı), ortam (ör. dizin düzeni ve izinler, işletim sistemi türü ve sürümü) vb. hakkında bilgi sağlayabilir. Bir saldırgan, bu belirli teknolojiler, kitaplıklar, işletim sistemleri vb. İstismarları etkili bir şekilde seçmek için bu bilgileri kullanabilir. Bu nedenle, bu tür bilgileri kullanıcıya açıklamak potansiyel olarak bir zayıflıktır.

Kullanıcıya girdisinde neyin yanlış olduğunu açıklamamak kesinlikle kötü bir kullanıcı deneyimi olmakla birlikte güvenlik iyileştirmesi değildir.

Verilerin hassas olduğu ve bununla ilgili herhangi bir doğrulamanın hassas olabileceği benzer durumlarla karıştırmayın.Örneğin, kullanıcı bir yıl beklediğiniz alana harf girdiyse, bu hatayı kullanıcıya açıklamak güvenlidir.Ancak kullanıcı bir e-posta adresi girerse ve bu adresin sisteminizde kayıtlı olup olmadığını kontrol ederseniz, herhangi bir bilgi (adres biliniyor, adres bilinmiyor) bir zayıflık olabilir.Bu nedenle, doğrulama mesajlarını veya kullanıcı girdisiyle ilgili diğer geri bildirimleri uygulayacağınız zaman, sonuçları değerlendirin.Ancak tüm alanlar için varsayılan olarak herhangi bir geri bildirimi yasaklamak, yanlış bir güvenlik duygusu ile zayıf bir UX olabilir.

Bu, sistemin kullanılabilirliği lehine güvenlik ödünleşmelerinin beklendiği birçok senaryodan sadece biri.

Bununla birlikte, yığın izlerini göstermek (yetersiz hata işleme) ile bir giriş alanında hangi karakterlerin beklendiğini veya yasaklandığını reddetmek arasında büyük bir fark vardır.

Çoğu senaryoda, şifre girişimlerini sınırlamak gibi başka güvenlik mekanizmaları mevcutsa, bir giriş alanında hangi karakterlerin beklendiğini veya yasaklandığını reddetmenin bir güvenlik açığı olmadığı iddia edilebilir..

Bunun kabul edilen bir sistem riski olduğu bir tehdit modelleme çerçevesi kullanılarak belirlenebilir.

Belirsizlik bir güvenlik değildir.İyi bir sistem, bir saldırgan hakkında her şeyi bilse bile güvenlidir.Sizin durumunuzda, boşa harcanan çatlama tahminlerini belirli bir yüzde, örneğin% 25, kısaltmak, çatlamanın pratikliğini bozmamalı: 1 trilyon yıl, 0,75 trilyon yıl kadar pratiktir.Uygulama ayrıntılarının engellenmemesi, yeni iyi adamların savunma yapmasına da yardımcı olur.

Sosyal düşünceler de var."KÖPEK DİKKATLİĞİ" işareti, güvenlik uygulama ayrıntılarını sızdırabilir, ancak aynı zamanda belirli bir ölçekte yaygın saldırıları da caydırır.Köpek, bilinen veya bilinmeyen yardımcı olur, ancak bir işaret çit bakım maliyetlerini azaltabilir ve bu da diğer savaşlarda savaşmak için kaynakları serbest bırakır.

Diğer yanıtlar, bunu ifşa etmenin bir güvenlik sorunu olmadığını gösteriyor.

Gerçek bir anekdotla, ifşa etmemenin yalnızca kullanıcıları sinirlendirmekle kalmayıp aynı zamanda daha az güvenliğe de yol açabileceğini savunacağım.

Bu, hangi karakterlere izin verildiğini netleştirmeyen sitelerde birden çok kez başıma geldi. O zamanlar bir şifre üreticisi kullanmadığım için şifreleri hatırlamak için zihinsel bir planım vardı. $ @. & gibi birkaç özel karakter kullanmayı içeriyordu. Elime geçen tek şeyin "şifrede geçersiz karakterler" olduğu birkaç sinir bozucu girişim ve aşamalı olarak özel karakterleri ortadan kaldırmaya başladım. Sonra "şifreniz yeterince güvenli değil, birkaç rakam ve simge eklemeyi deneyin" geldi ... evet ... Bu noktada kesinlikle rahatım.

Sonunda şifremi kabul ettim. Sadece bir özel karakter içermeyen, aynı zamanda şifreleri hatırlama şemalarımdan hiçbirine uymayan bu yüzden onu başka bir yerde saklamak zorunda kaldım nasıl güvence altına aldığımı hayal edin. Bunun bir helikopter ve ip gibi olduğunu söyleyeceğim).

Bir yandan bu kurallar da uygulanıp kontrol edildiği sürece, kullanıcının seçebileceği karakter kümesini açıklamada bir sorun görmüyorum. Yani, kullanıcının alanda \ kullanmasına izin verilmiyorsa, bunu JS girişinde kontrol etmek yeterli değildir, ancak bunu girmeden önce yani DB'de ve veri kullanıldığında da kontrol etmek yeterlidir. Bu yüzden kurallar her zaman geçerli olmalıdır (TOCTOU). Diğer kısım, entropi hala verildiği sürece karakter kümesini küçültmenin sorun olmamasıdır. Parola karakterlerini "a" ve "b" olarak azaltabilirsiniz, ancak daha sonra minimum PW uzunluğunu buna göre artırmanız gerekir (ve yeterince uzun olana kadar yalnızca "a" tuşunu basılı tutmadıklarını kontrol edin). Yeterince uzun (rastgele) bir parola ile, bu aynı zamanda güvenli bir parola olacaktır. Sonunda, bir karakter için olan tek şey bittir ve herkes bunların 0 olduğunu bilir & 1, bu nedenle (gerçek) alfabe her zaman bilinir, kaç olası düzenleme olduğu, belirtmek (ve kontrol etmek) size bağlıdır.