WEBアプリケーションのセキュリティチェック項目の中に、 ログイン画面でアカウントの存在有無を検知されないこと という項目がありますよね。 例えば、 認証に失敗したとき、アカウントの存在有無によってエラーメッセージを変えるな ハッシュ化されたパスワードの検証で、アカウントの存在有無によって応答時間を変えるな とか、そういう指摘を受けることがあります。 でも、最近の大手サービスでも、アカウント名とパスワードが同じ画面にあるのではなく、まずはアカウント名を入力して次の画面でパスワードを入力させるというパターンが増えています。 これって最初に書いた「ログイン画面でアカウントの存在有無を検知されないこと」に反していると思いますが、なぜAmazon, Google等のサービスではこのような設計が許容されているのでしょうか?
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く