Mongo ObjectIDs：野生で安全に使えますか？

Question

私はMongoDBとやりとりするAPIを設計しています。

safe OIDを直接使用するときにセキュリティ問題が発生する可能性がありますか？またはそれらを暗号化/復号化する必要がありますか彼らは私のサーバー環境を離れますか？

Answer 1

BSONオブジェクトIDの指定hereを見てください。の場合は、を使用しても安全です。

スクリプト（fuskators）から異なるURLを送信しているユーザーから保護しようとすると、セキュリティが弱いようです。あまりにも多くの '機械'、 'pid'の部分の組み合わせはありません。攻撃者がデータがどのように挿入されたかを知ることができる場合（特にバッチを使用する場合）、「時間」の部分が計算できます。 'inc' - 非常に弱い。

唯一のセキュリティとしてObjectIDが信頼されません。

一般的に「安全か」という質問には正解はありませんのでご注意ください。あなたは自分で決める必要があります。

PS。しかし、このようなURLベースのセキュリティは、ユーザーが訪問したURLを共有するときには紛らわしいことに注意してください。最高の暗号化でさえ助けにならないでしょう。

Answer 2

オブジェクトIDを共有しないと、セキュリティ上の問題を知る可能性のある攻撃者がブルートフォース攻撃などを使用してオブジェクトID

最終的にthis questionもお手伝いします。