Vlákno názorů k článku Helpdesk na webu může být problém, když ochranu dat neberete vážně od Filip Jirsák - Pokud ID bude sha-256, tak to sice volný...

Pokud ID bude sha-256, tak to sice volný přístup přímým zvýšením čísla už neumožní, ale stále je to opět „security through obscurity“ a pokud bude někdo chtít, tak si prostě toho robota se všemi sha-256 kombinacemi může napsat a poslat ho na jejich web. Nehledě na to, že stále zůstává problém v tom, že případná „prozrazená“ adresa bez žádosti o přihlášení bude znamenat, že se vše stane přístupné někomu, kdo k tomu přístup mít nemá.
Proč o bezpečnosti píše někdo, kdo jí vůbec nerozumí? Kdyby ten webserver dokázal obsloužit noniliardu (tj. 10⁵⁷) požadavků za sekundu, bude zkoušení všech kombinací SHA-256 pořád trvat několikrát déle, než je současné stáří vesmíru.

To, že není (nyní ani v blízké budoucnosti) reálně možné vyzkoušet všechny možné hodnoty hashovací funkce, je důvod, proč se vůbec hashovací funkce používají. Což je ta první věc, kterou by měl o hashovacích funkcích vědět někdo, kdo chce pochopit základy bezpečnosti.

Ochrana nějakým tajným údajem není „security throught obscurity“. To Dočekalovo „přihlášení“ není nic jiného, než ochrana tajným údajem. Je úplně jedno, jestli se tomu tajnému údaji říká heslo nebo bezpečnostní kód. A je celkem jedno, zda ten tajný údaj je součástí URL nebo se posílá jako HTTP hlavička nebo formulářové pole – pořád to putuje ve stejném HTTP požadavku a typicky stejným paketem. Jediný rozdíl je v tom, že u hesel ví každý, že je nemá nikomu říkat, v případě URL s kódem je potřeba na to uživatele explicitně upozorňovat.

Session není civilizované řešení, právě naopak, je to nebezpečná obezlička kvůli tomu, že infrastruktura kolem HTTP neumí rozumně autentizovat každý požadavek (přestože v HTTP standardu se s tím počítá).

URL se pro přihlášení používá běžně. Používá to tak i Google, používá to tak Dropbox a všichni ostatní. Nevím, co myslíte tím „bookmark google“, při vyhledávání z prohlížeče se referrer neodesílá (protože to vyhledávání nemá nic společného se stránkou, kterou má uživatel náhodou otevřenou). Google nemůže indexovat stránky, o kterých se dozví z prohlížeče (např. při analýze malware stránek).