Vlákno názorů k článku
Heslo pro kamerový systém v pařížském Louvru bylo „Louvre“ od pingu - Security through obscurity, taky to tak v práci...

Security through obscurity, taky to tak v práci na některých místech máme :D

Na tom se ale nedá postavit bezpečnost. Je to jen falešný pocit bezpečí, který se zhroutí, jakmile se prozradí triviální tajemství. Takhle zajištěný systém není odolný proti kompromitaci vůbec nijak.

to se ti řekne, když to do nást všichni od mala hrnou. To jsou ty legendy o zakopaných pokladech na neznámém místě, ztracených městech. To se pak nedivím, že i v IT máme tendenci věci prostě schovat než je zamykat.

Byl-nebyl jeden bucket, který nešel listovat, ale jeho soubory jsou veřejně přístupné. Avšak, jména těch souborů jsou UUIDv4. A má otázka zní: je to security by obscurity, nebo má každý soubor 128b heslo? Soubory mají velmi krátkou životnost, tudíž birthday problem je nízký.

Podstatná otázka - zachází se s tím UUID v celém procesu jako s kryptografickým klíčem? Tedy není ani v žádném audit logu apod? Je dostupný jen oprávněným uživatelům a nikomu dalšímu? (==není indián admin, co by ho viděl)?

To, co je popsané v článku, ani to, co popisujete vy, není „security by obscurity“. Security by obscurity znamená, že se používá slabé zabezpečení, typicky slabý algoritmus, ale spoléhá se na to, že ten algoritmus nikdo nezná. Heslo, které je asi tak v prvních třech, které útočník vyzkouší, není slabý algortimus ani slabé zabezpečení, to je prostě prakticky nulové zabezpečení.

Krátká životnost souborů je ve vašem příkladu úplně jedno, těch souborů tam určitě nemáte tolik, aby byl birthday attack relevantní.

Security by obscurity by váš případ byl, kdyby se třeba s názvy těch souborů nezacházelo jako s tajemstvím, ta UUID by se někde odhalovala – ale spoléhalo by se na to, že případný útočník se sice dostane k tomu UUID, ale neví, v jakém bucketu by měl ty soubory hledat.