私は stackexchange を使用してログインを使っています。
メールアドレス部分を正しく入力し、試験的にパスワードを誤って入力すると
「パスワードが正しくありません」と出ます。
同様、メールアドレス部分を試験的に故意に誤って入力すると
「メールアドレスが有効なものではありません」
「入力されたメールアドレスのアカウントが見つかりませんでした」
となる挙動を確認しました。
これは現代的セキュリティ観点的にはまずくないっすか?
個人的には「ありえない」っす。改善を要望します。
私は stackexchange を使用してログインを使っています。
メールアドレス部分を正しく入力し、試験的にパスワードを誤って入力すると
「パスワードが正しくありません」と出ます。
同様、メールアドレス部分を試験的に故意に誤って入力すると
「メールアドレスが有効なものではありません」
「入力されたメールアドレスのアカウントが見つかりませんでした」
となる挙動を確認しました。
これは現代的セキュリティ観点的にはまずくないっすか?
個人的には「ありえない」っす。改善を要望します。
This was definitely something we thought about when designing the login/signup pages.
We decided that giving users something direct (i.e. problem with username vs password) was better for user experience. Helping people log in when they are trying to log in, instead of giving a vague message ("something is wrong").
この課題を十分考えた上でログイン・サインアップページを作成しました。
ユーザーに直接問題のヒント(問題はメール関連かパスワード関連か)を与えることで、ユーザーにより使いやすくできると思っていました。不明な「問題ある」メッセージより、ログインを助けることができるメッセージの方がいいと決めました。
現代的セキュリティ観点から言えばもはやさほど問題では無いと考えます。
かつてこれが問題だと言われていたのは、
のが理由です。
古典的ブルートフォース攻撃に関して言えば、アカウントロックで対抗します。
IDリスティングについては、同一IPアドレスからのログイン試行をブロックする対策が行われていれば、分散型の攻撃以外は防げます。そもそも、メールアドレスをIDに使っている場合、IDリスティングはさほど問題ではありません。利用者としてIDリスティングが致命的な問題だと考えるのであれば、サードパーティアカウントによる認証も用意されているので利用者が回避できるでしょう。
なお、現在では認証を突破する攻撃の手法はリバースブルートフォースであるとかリスト攻撃とかジョーアカウント攻撃とか、「既知のID候補」を利用するのが主流で、これらに対してはログイン画面でIDの存在がヒントとして提示されても大きな問題にはなりません。これらの攻撃に対しては、先に書いた同一IPアドレスからのログイン試行をブロックする対策で(ある程度)対策します。(正しくはこっちが先で、IDリスティングの緩和は付随的効果)
ということで、ログイン試行に対する対策が行われているのであれば、現状のメッセージでも攻撃に対して脆弱ということにはなりません。対策が行われていないのであればそのこと自体が問題ですので、メッセージがなんであるかは些末な問題ということになります。