2

Considerando um exemplo bem básico: suponha que exista um sistema web em que o usuário pode visualizar seu perfil (e de demais usuários) por meio de um identificador único passado para uma rota, por exemplo:

https://sistema.io/profiles/<identificador>

Então foi escolhido utilizar o campo ID da entidade que contém os dados daquele usuário persistido no meu BD. Assim, supondo que meu sistema tenha um usuário João que teve seu identificador gerado no registro como 100, seu perfil poderia ser acessado por meio do seguinte link:

https://sistema.io/profiles/100

Minha questão é: expor esse tipo de dado (o ID, a chave primária da tabela) é um problema grave de segurança? Aqui eu utilizei o exemplo da URL, mas poderia ser qualquer exemplo no qual a primary key ficasse exposta para quem está utilizando a aplicação.

Eu já ouvi muito que isso é grave por conta dos relacionamentos que a entidade pode possuir mas não entendi como isso ocasionaria uma brecha de segurança na minha aplicação sem ter um exemplo claro.

4
  • Já vi uns exemplos assim, mas o pessoal usava um Como é gerado o GUID (Identificador Único Global)? em vez de um id sequencial.
    – Marconi
    23/01/2019 às 14:37
  • Acredito que seja uma falha de segurança, no entanto, no contexto da tua app, esse ID poderá ter inúmeros significados na tua application. Tudo depende da maneira como este é utilizado. O próprio stackoverflow expõem estes IDs > pt.stackoverflow.com/questions/357895
    – Query
    23/01/2019 às 16:23
  • 2
    @Query E por que acha que é uma falha de segurança?
    – Woss
    23/01/2019 às 16:40
  • @AndersonCarlosWoss Porque se não existirem método que verifiquem permissões de acesso ou escrita, um utilizador "avançado" poderá conseguir aceder a todos os users da application incrementando o ID.
    – Query
    23/01/2019 às 16:59

1 Resposta 1

0

Não, se não é validado as ações no lado do servidor, a falha está aí, expor uma chave primária pode facilitar, porém não é uma falha

Em relação a essa facilidade... Como você está falando de chave primária, vou consideraro uma aplicação usando SQL, onde os ID são gerados de forma sequencial, ou seja, em uma ou duas tentativas encontra facilmente uma linha do banco. Ter essa coluna exposta facilita encontrar uma linha específica. Mas se não há validação provavelmente consegue a lista de todas as linhas de todas as tabelas do banco (ou pelo menos a maioria)

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .