Obrigado a todos pelas suas valiosas contribuições e perspectivas sobre este bug. Para mim, isto é muito simples e nada complicado: existe um bug bem conhecido presente no Discourse que tem sido repetidamente levantado por administradores e profissionais de segurança como eu, e está a ser tratado como uma funcionalidade em vez de uma vulnerabilidade de segurança: NIST: CWE-200: Exposição de Informações Sensíveis a um Ator Não Autorizado.
Justificar esta configuração padrão insegura que viola as melhores práticas padrão da indústria, citando uma situação hipotética em que um administrador de fórum é inundado com perguntas de utilizadores sobre quais e-mails usaram para se inscrever, não faz sentido, pois usar a página “esqueci a minha palavra-passe” não necessitaria desta interação do administrador, independentemente da configuração desta definição: se a configuração mais segura e em conformidade com os padrões estiver ativada, o utilizador simplesmente verificaria o(s) seu(s) e-mail(s) no diálogo “esqueci o meu e-mail” e veria se esse endereço recebeu um e-mail de redefinição de palavra-passe, exatamente como explicado pelo diálogo, e como é comum em todas as aplicações web modernas, que respeitam a privacidade e estão em conformidade com os padrões. Além disso, justificar esta violação com base na premissa de que outros sites também podem estar a violar as melhores práticas não é um argumento lógico ou convincente de uma perspetiva de segurança e proteção de dados. Luto para entender por que estamos a dar aos administradores a “funcionalidade” de tornar a sua instalação Discourse marginalmente menos segura e em conformidade com os padrões, sem um benefício claro.
No entanto, fiz o trabalho que você prescreveu, @sam:
1. Google: não permite a enumeração de utilizadores.
2. YouTube: não permite a enumeração de utilizadores (porque usa o login do Google, e o Google não permite a enumeração de utilizadores).
3. Facebook: permite oficialmente a enumeração de utilizadores através da sua página “encontrar uma conta”/“esqueci a minha palavra-passe” apenas se o utilizador tiver marcado deliberadamente o seu e-mail/número de telefone como público, e ainda assim vazou famosamente dados de 500 milhões de utilizadores através deste tipo de vulnerabilidade, e pagou milhares de dólares a auditores de segurança que descobriram que a sua limitação de taxa e as regras de “apenas se explicitamente marcado como público” não estavam a ser seguidas internamente.
4. Instagram: permite a enumeração de utilizadores (e foi queimado por isso). Este é um hack diferente do que mencionei para o Facebook.
5. X (por favor, seja respeitoso sobre dead-naming neste fórum): permite a enumeração de utilizadores através da sua página de esqueci a palavra-passe, mas implementa limitação de taxa e alguns outros obstáculos facilmente contornáveis e ainda assim comprometeu famosamente os números de telefone dos seus utilizadores através de um bug na sua implementação de limitação de taxa e proteções de privacidade de dados.
6. Baidu: permite a enumeração de utilizadores na página de esqueci o e-mail, e implementa captcha (e talvez limitação de taxa? O meu chinês é mau). Curiosamente, o processo de recuperação requer a abertura de um recurso com a equipa de administração, em vez de um simples e-mail de recuperação. Muito típico do controlo central do PCC.
7. Wikipedia: não permite a enumeração de utilizadores.
8. Yahoo: Permite a enumeração de utilizadores através da sua página de esqueci a palavra-passe, mas implementa limitação de taxa e captcha. Não consegui encontrar exemplos de o Yahoo ter sido apanhado em controvérsias ou ter pago hackers que exploram este bug, mas é realmente difícil pesquisar por Yahoo em qualquer motor de busca por razões óbvias.
9. Yandex: permite a enumeração de utilizadores na página de login, implementa captcha e pergunta de desafio na página de esqueci o e-mail.
10. Whatsapp: não permite a enumeração de utilizadores. O login no PC é feito através de credenciais móveis. As credenciais móveis estão vinculadas ao seu número de telefone. Não há botão de logout, nem página de login/esqueci o meu e-mail.
11. XVideos: não permite a enumeração de utilizadores.
12. PornHub: não permite a enumeração de utilizadores.
13. Amazon (site de e-commerce): permite a enumeração de utilizadores através da sua página de esqueci a palavra-passe, em violação direta das suas próprias recomendações de melhores práticas para o produto de pools de utilizadores do Amazon Web Services. Não consegui encontrar exemplos de a Amazon ter sido apanhada em controvérsias ou ter pago hackers que exploram este bug, mas é realmente difícil pesquisar por Amazon em qualquer motor de busca por razões óbvias.
14. Xnxx: não permite a enumeração de utilizadores. O site principal não tem realmente uma página de login, e o site ‘gold’ não permite a enumeração de utilizadores. Encontrei uma página de login desativada na versão móvel do site regular, e simplesmente não tem funcionalidade de “esqueci o meu e-mail” (e também está aparentemente desativada, em favor do seu site ‘gold’).
15. Tik Tok: não permite a enumeração de utilizadores. Impõe MFA na página de esqueci a palavra-passe.
(21. Reddit: Não permite a enumeração de utilizadores. Eles estão em conformidade com as melhores práticas padrão da indústria.)
Dos 15 principais sites dessa lista, 8/15 NÃO permitem a enumeração de utilizadores (ou 9/16 se incluirmos o Reddit, e argumentavelmente adicionarmos 0,5 para o Facebook, já que ele só permite a enumeração de informações que o utilizador aprovou deliberadamente tornar públicas), e pelo menos 3/7 dos sites dessa lista que PERMITEM a enumeração de utilizadores enfrentaram eventos de segurança críticos como resultado dessa decisão.
)
