현재 비밀번호 재설정을 요청하면 이메일이 노출될 수 있습니다. 해당 이메일에 대한 접근 권한이 없어도, 이메일 주소를 대량으로 입력하여 어떤 주소에 계정이 있고 어떤 주소에는 없는지 확인하는 것이 가능합니다. 이는 매우 위험합니다.
이것은 버그가 아닙니다. hide email address taken이라는 사이트 설정이 이를 방지합니다.
로그인 시에도 속도 제한이 적용되어 대량의 이메일 주소를 무차별 대입 공격(브루트포스)으로 시도하기가 쉽지 않습니다.
그것은 설정 뒤에 있어서는 안 됩니다…
사용 편의성과 보안 사이의 트레이드오프(많은 것들이 그렇듯이)입니다. 잘못된 이메일 주소로 로그인하려고 할 때 사용자가 좌절감을 느끼는 경우가 흔하며, 해당 이메일이 존재하지 않음을 알려주는 것이 도움이 될 수 있습니다. 추가적인 보안이 필요한 사이트의 경우 해당 옵션이 제공되고 있습니다.
우리는 위험을 줄이기 위한 다른 조치들을 마련해 두었으며, 수백 개의 Discourse 사이트에서 이를 통해 심각한 문제를 겪은 적이 없습니다.