Ссылка на этот вопрос, заданный на этом форуме о дизайне URL для SSL-Secured Приложения SaaS, и при условии, что используется вариант C, при котором каждая учетная запись имеет уникальный подкаталог в общем доменном имени; вопрос: для приложения SaaS, которое имеет дело с очень конфиденциальными данными (приложение для банковских или медицинских записей), что является лучшим подходом к разработке точки входа на страницу входа клиента для конкретной компании:
- Используйте уникальный логический URL-адрес с ключами, например, для компании ABC: https://saas.foobar.com/abc
- Используйте более загадочный URL-адрес, который использует ключ компании в качестве параметра URL-адреса, например: https://saas.foobar.com/login?companykey="232323355AAc"
- Спроектируйте систему так, чтобы разрешить доступ с использованием обоих вышеперечисленных подходов, и позволить клиенту выбрать подход, который соответствует уровню риска на основе их собственных корпоративных политик безопасности.
Компромисс между подходом один и подходом два заключается в простоте, а не в безопасности. Кроме того, является ли использование первого подхода приемлемым, учитывая, что угаданный URL-адрес потенциально на один обруч меньше, через который хакер должен пройти, чтобы получить доступ, и, возможно, более уязвим для методов социальной инженерии?
