17

Me fugiu o nome dessa técnica no qual o responsável pelo desenvolvimento ao invés de tratar o problema simplesmente o esconde.

Exemplificando: Tenho um botão que, ao clicado faz com que ocorra um DROP TABLE no meu banco de dados. Eu sei disso mas ao invés de corrigir o problema, apenas escondo o botão para que ninguém clique. No entanto, qualquer pessoa com conhecimento pode burlar essa minha "solução".

Como é o nome dessa técnica?

2
  • 4
    O nome é "técnica ruim" hehehe. +1 por ter acrescentado na própria pergunta que isto não é de fato uma técnica de segurança mas sim uma "anti-técnica" que não pode ser considerada de maneira nenhuma como sendo algum tipo de proteção (apesar de muita gente considerar - e sofrer as consequências). Quando esta "técnica" é utilizada e burlada (sempre é burlada se houver interesse), além de comprometer a informação compromete a moral do profissional (ingênuo) que a implementou.
    – Caffé
    Commented 7/01/2015 às 16:14
  • 2
    acho que a resposta que eu escreveria fugiria da pergunta e eventualmente não seria adequada para o formato do SO. Talvez seja melhor deixar só o comentário mesmo apenas para reforçar a ineficácia desta técnica.
    – Caffé
    Commented 8/01/2015 às 13:46

1 Resposta 1

19

O termo original é Security through obscurity ou segurança por obscurantismo, em português.

Ao contrário do que pregam alguns é uma técnica bastante eficaz. É algo extremante usado dentro e fora da computação. O problema começa existir quando ela é a única técnica de segurança. Considere-a como uma camada extra de segurança.

Invista em algo que não é popular, algo que só você sabe como funciona e as chances de você ser atacado com sucesso diminuem bastante. Você precisaria ser um alvo muito desejado para que alguém se desse ao trabalho de tentar descobrir as falhas na sua segurança. É muito mais fácil descobrir as falhas da segurança de algo popular, que todo mundo usa, que qualquer um pode saber como funciona.

Só não pode achar que uma escondidinha básica vai ajudar alguma coisa. Tem maneiras boas e ruins de fazer isto.

Existem muitos "especialistas" em segurança mas faltam especialistas em gerenciamento de risco.

Um caso curioso ter o questionamento em um sistema promovido pela Casa Branca. Ninguém questiona que a segurança física dela também se deve, em parte, porque ninguém sabe como ela funciona. lembra que o Bushinho apareceu sem ninguém saber pra celebrar a "vitória contra o Iraque"? Não foi divulgado antes porque era mais seguro assim.

Desenvolvedor tem a mania de ser mais real que a realeza (precisamos de mais profissionais pragmáticos e menos ideológicos). Obscuridade é uma técnica válida se não for a única.

O exemplo da pergunta não parece ser obscurantismo. Parece brecha mesmo :)

Coloquei no GitHub para referência futura.

0

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .