Acredito que as respostas são boas, mas a resposta do @Stormwind sobre "uma mensagem de erro genérica" me deixou um pouco intrigado.
Hoje em sistemas como o Google e a Microsoft é diferente do passado, agora primeiro pedem o login e só se estiver correto pedem a senha.
Acredito que isto ocorra porque a senha não é tão relevante. Já existe autenticação em dois (ou mais) fatores. No passado, apenas o conhecimento da senha já dava acesso a conta. Hoje em dia isso não se aplica, agora você precisa de mais do que apenas a senha.
Especificamente o Google permite até o uso de FIDO U2F, que exige uma chave física, USB, que nela contêm uma chave ECDSA, no qual assina o "desafio".
Enfim, mesmo que o atacante saiba o e-mail e a senha ainda terá um trabalho. Por isso, acredito que se tornou irrelevante o atacante saber apenas o e-mail e como já foi dito, passaram a informar o usuário o que está errado, melhorando sua experiencia.
Isto acontece para proteger os dados? Ou poderíamos dizer que é porque é mais fácil fazer dessa forma?
Informar dois textos iguais não provê segurança alguma, você precisa executar exatamente a mesma coisa. Caso contrário, você poderá informar ao atacante que o usuário existe ou não, por outros caminhos.
Considere este código, INSEGURO:
func login(w http.ResponseWriter, r *http.Request) {
var hashedPassword string
var username = r.PostFormValue("username")
var password = r.PostFormValue("password")
if username == "" || password == "" {
fmt.Fprint(w, "Você precisa enviar os dados")
return
}
err := db.QueryRow("SELECT `senha` FROM login WHERE usuario = ? LIMIT 1", username).Scan(&hashedPassword)
if err != nil {
fmt.Fprint(w, "Senha ou usuário incorreto")
return
}
if err := bcrypt.CompareHashAndPassword([]byte(hashedPassword), []byte(password)); err != nil {
fmt.Fprint(w, "Senha ou usuário incorreto")
return
}
fmt.Fprint(w, "Conectado com sucesso")
}
O código acima sempre vai informar "Senha ou usuário incorreto" se você errar uma das coisas. Você pode dizer que o código acima cumpre o que o @Stormwind diz:
Se você usa uma mensagem de erro genérica, você está "aumentando a segurança", uma vez que o atacante não saberá se pegou nomes válidos e existentes no seu sistema [...]
Mas.... Não. Isso não adiciona nenhuma segurança. Um atacante ainda consegue obter a informação original, observe que o tempo de processamento é diferente:
Usuário "QueNaoExiste":
curl -d "username=QueNaoExiste&password=a" http://127.0.0.1:8888/login -w " "%{time_total}
Senha ou usuário incorreto 0,000
Usuário "QueExiste":
curl -d "username=QueExiste&password=a" http://127.0.0.1:8888/login -w " "%{time_total}
Senha ou usuário incorreto 2,156
Usuário "QueExiste" e com a senha certa:
curl -d "username=QueExiste&password=umasenhamuitolouca" http://127.0.0.1:8888/login -w " "%{time_total}
Conectado com sucesso 2,157
Um usuário inexistente não faz o BCrypt, portanto o resultado é mais rápido do aquele que faz a comparação. O %{time_total}
informa o tempo total gasto até a requisição ser finalizada. Não basta apenas as mensagens serem iguais, você tem que impossibilitar a extração da informação verdadeira por outras vias. Neste caso especifico deve se proteger de timming-attack.
Isso é apenas UM dos milhares de métodos que podem ser utilizados, mesmo onde "a mensagem é igual". Em um outro caso real, existe um site (não vou mencionar o nome aqui) que ao fazer o login, o cliente recebe um id
. Mas, quando tenta fazer login de uma conta inexistente o id
é temporário. Basta que você espere algum tempo e experimente fazer um novo login. Se o novo id
for diferente do antigo é porque não existe, se ele permanece igual.... Você acertou o usuário.
Uma mensagem igual, por mim, não garante nenhuma segurança. Existe mais coisas a serem feitas do que apenas "uma mensagem igual".