Дизайн безопасности, поддерживать электронную почту, но не связаны с соответствующими данными? - PullRequest
0 голосов
/ 21 июня 2011

мы с другом подумали о веб-идее и столкнулись с проблемой:

Мы не можем позволить адресу электронной почты находиться в базе данных со связанными данными, в случае хакераполучение базы данных.Мы бы хотели, чтобы адрес электронной почты и связанные с ним данные никогда не связывались, но с другой стороны, нам также необходимо каким-то образом сохранять их связь, чтобы мы могли отправлять пользователям уведомления по электронной почте. ETC

Может кто-нибудь подумать илизнаете способ обойти это?(.NET, Umbraco)

Спасибо!

Ответы [ 2 ]

1 голос
/ 21 июня 2011

Имеется 2 базы данных, одна с пользователями + данные + идентификатор пользователя, другая с идентификатором пользователя + электронная почта. Защитите их обоих, если один будет обнаружен, другой может не быть.

В любом случае вы просите нас доказать ложность. ^^

0 голосов
/ 21 июня 2011

Я не могу придумать способ связать пользовательские данные с электронными письмами без фактической связи пользовательских данных с электронными письмами. Однако можно было бы не хранить адрес электронной почты и не связывать его в базе данных, если бы вы могли жить только с наличием их адреса электронной почты, когда пользователь вошел в систему.

Вы могли бы требовать, чтобы пользователи входили в систему, используя свой адрес электронной почты и пароль, как это делают многие сайты, но вы могли бы хранить односторонний хэш адреса электронной почты (например, sha1 (электронная почта + пароль)), а не сам адрес. Когда пользователь успешно входит в систему, вы можете сохранить его адрес электронной почты в своем сеансе, даже не получая его из базы данных. Вы можете отправлять им электронные письма, пока не уничтожите их сеанс. Это не позволит злоумышленнику подключить свои данные к своей электронной почте без грубой форсировки хэшей или извлечения информации о сеансе из памяти или пользовательских файлов cookie в зависимости от того, как вы ее храните.

К сожалению, это не позволит вам отправлять уведомления по электронной почте.

...