Discuss the current security approach (german language) about mycoradar HOT 3 OPEN

Wenn die einmalig generierte UUID random, unique und genügend lang ist, wozu braucht man dann noch den Code aka Passwort, nur sinnvoll, wenn es jedesmal eingegeben werden muss und nicht abgespeichert werden kann, oder?

from mycoradar.

Hi @secradar , danke dir für diesen Impulse. Wir haben den Code als zusätzliche Sicherheit einer Brute-force Abfrage vorgesehen, um den Status durch Kenntnis oder Erraten der UUID weiter abzusichern. Wie praktikabel der Ansatz ist, müsste sich in einem Test und bei Beobachtung der UX klären. Ich lasse den Issue und Deinen Impulse für eine Weiterentwicklung offen. Vielen Dank für das Feedback.

Hi @secradar , thank you for this impulse. We have provided the code as additional security of a brute-force query to further secure the status by knowing or guessing the UUID. How practicable this approach is, would have to be clarified in a test and by observing the UX. I leave the issue and your impulses for further development open. Thank you very much for the feedback.

from mycoradar.

which kind of brute-foce should be protected? I can think of at least three:

1. database from server is stolen, attacker uses brute-force to get the real device/app ID
2. attacker pulls/pushes the API brute-forcing the UUID
3. attacker has access to the app (which is only protected by the device's authenticator), and tries to misuse the app with other UUIDs

brute-forcing 2. and 3. is limmited by bandwidth of the connection, at least that of the server if it is a distributed brute-force; I don't yet see how the additional code make this attack harder

from mycoradar.