자동 생성 된 URL을 비밀번호의 일종으로 사용하기

Question

내 사이트 방문자가 긴 양식을 작성하기를 원합니다. 사이트를 사용하기 위해 사이트를 채울 필요는 없습니다.하지만 이야기를 나에게 보내려면 입력해야합니다. 따라서 일부는 원할 것입니다. 일부는 원할 것입니다. 양식이 상당히 크기 때문에 방문자는 나중에 다시 돌아와서 끝내기 위해 반 채우기를 원할 수 있습니다. 방문자가 가능한 한 쉽게 프로세스를 진행할 수 있도록 방문객을 www.mysurveys.com/7Bs3h4vSWEe과 같이 자동으로 생성 된 URL로 리디렉션하는 링크 인 '스토리 만들기'를 클릭하기 만하면됩니다. 여기서 방문자는 자신의 양식으로 작업하고 '저장'을 클릭하여 저장하려는 경우 나중에 다시 돌아가서 끝내도록합니다. 양식 데이터는 생성 된 ID로 데이터베이스에 보관됩니다. 방문자가 양식이 제대로 채워지고 완료되었다고 생각하면 '검토를 위해 보내기'를 클릭하고 양식이 나에게 전송됩니다.

질문 : 자동 생성 된 URL을 사용자의 유일한 자격 증명으로 사용하는 것이 얼마나 안전할까요? 어떤 스니퍼라도 쉽게 방문자가 양식을 채우는 데 사용할 수 있다고 생각합니다. 이런 과정을 가능한 한 간단하게 만드는 방법은 무엇입니까? 조금 더 안전하게하는 방법은 무엇입니까? 표준 사용자 등록 패턴을 사용하여이 작업을 수행 할 수 있음을 알고 있지만 더 간단하게 만들고 싶습니다.

Answer 1

이 ID는 사용자를위한 세션 ID를 갖는 것과 비슷하며 그 의미는 타협이 아닙니다. 한 가지 차이점은 세션 ID는 항상 만료되어야한다는 것입니다. 보안이 중요하면 도청 방지를 위해 HTTPS를 사용해야합니다.

이 URL 값은 Cryptographic Nonce이어야합니다. 또한 무차별 대항력을 고려해야합니다. 누군가 존재하지 않는 키를 많이 추측하는 경우 보안 문자로 키를 입력하십시오.

Answer 2

안전하지는 않지만 기본적으로 스니핑은 유일한 공격이며 공격자가 어떤 URL을 사용하는지 상관하지 않는 한 피해자를 아주 구체적으로 타겟팅해야합니다.

재무 정보 또는 제 3 자 기밀 정보와 같이이 정보를 사용하지 않겠지 만 위험이 낮은 정보는 괜찮을 수 있습니다.

편집 : 나는 무차별 대항력을 무시했지만, 거의 동일하게 적용되며 다른 답변에서 제시하는 것처럼 captcha와 같은 보호 기능이 있습니다.