登録自動入力検証セキュリティ/プライバシーに関する懸念

Question

登録したユーザー名、電子メールアドレス、電話が既に存在するかどうかを自動的に確認する登録ページを作成しました。既にアカウントに登録されているユーザーがいる場合は、入力欄をクリックするとすぐに同じページに通知が表示され、既に登録済みで、別の値を入力する必要があります。

私の懸念は、誰かがこれらのフィールドに値をブルートフォースし、入力されたデータが既に登録されているかどうかを記録するスクリプトを書くかもしれないということです。そうすれば、登録されているすべてのユーザー名、電話番号、電子メールのリストを取得できます。

これは気にするもので、予防すべきものですか？ IPごとに10〜20個の入力検証チェックしかできないようなものを実装できます。努力する価値はありますか？脆弱性および/または悪い習慣とみなされる、登録されたすべてのユーザー名のリストを漏らしていますか？

もし私がこれを防ぐべきだと思うなら、それについての最良の方法は何でしょうか？

Answer 1

あなたはこのようなreCAPTCHAのようキャプチャを使用して、

---

1. を以下のように使用して登録ページのブルートフォースを防ぐことができますが、そのようなあなたがする」などの一般的なメッセージを、使用して1
2. を優先しました{email_id}に電子メールを受信します（まだアプリケーションに登録されていない場合）。しかし、あなたが言ったように、あなたはユーザー名、電子メールのIDと電話番号を確認したい。このような状況では、電子メールのIDや電話番号をOTPで検証することができます。ユーザーが電子メールIDまたは電話番号を検証すると（またはアプリケーションコンテキストごとに）、ユーザー名を選択するオプションを提供できます。しかし、悪質なユーザーはここでもユーザー名のブルートフォースを行うことができますが、このシナリオでは検証済みの電話番号/電子メールIDを使用して制限を設定できます。