😈 Перечисление пользователей

Да, такая очевидная проблема может оказаться полезным преимуществом для злоумышленников.

Перечислением пользователей злоумышленник сможет убедиться, а точно ли существует такой пользователь. Сервер может выдавать ответ "Такого пользователя нет" или "Введен неверный пароль для данного аккаунта". Далее это может использоваться для brute-force атак (перебор логина и пароля).

Я заметил, что эта проблема часто встречается, в том числе и на проектах. На одном из проектов при переборе номеров телефона в ответе выдавало еще часть email пользователя. Давайте будем честными, в каком случае у злоумышленника будет больше желания атаковать пользователей: когда ему система прямо пишет, что такого юзера нет, либо когда всегда выдается нейтральный ответ по типу "Введен неверный логин или пароль"?

Тут стоит выбирать между удобством для пользователей и безопасностью — часто конфликтующие понятия.

Зачем лишний раз приманивать злоумышленников, когда проще избавиться от такого риска?

#кейс