user-interface - エラーメッセージとシステム仕様をユーザーに表示してみませんか？

Question

自分のサイトの1つにアクセスしているときに、DBエラーが発生し、公開されているページに表示されることがあります。急いでスイープし、属していない場合はエラーを修復し、属していない場合はカスタムエラーを作成します。ユーザーがエラーメッセージを表示できないようにし、システム仕様を公開しないようにするように何度も言われてきました。でも、その理由を忘れてしまったようです。なぜこれがそれほど重要なのですか？

Answer 1

悪意のあるユーザーがシステムのアーキテクチャについてよく知っているほど、攻撃を調整してシステムにアクセスしたり、システムをダウンさせたりすることが容易になります。

Answer 2

1. ユーザーはクラッカー/ハッカーになることもできるからです。
2. 多くの奇妙なテキスト/コード=>ユーザーフレンドリーではないことをユーザーが見るのを怖がらせます。

しかし、主な理由は、システムの知識を得るハッカーのためです。

Answer 3

簡単に言うと、攻撃者が持っている情報が多ければ多いほど、何らかの方法でサイトを危険にさらす可能性が高くなります。

たとえば、DBエラーにテーブル名または列名が含まれている場合、攻撃者はSQLインジェクション攻撃で何を試すべきかを知ることができます。

https://www.owasp.org/index.php/Top_10_2007-Information_Leakage_and_Improper_Error_Handling

Owaspは対象を適切に扱います。上記のリンクは古いですが、まだ有効です。一般に、OWASPは、優れたセキュリティプラクティスとは何かだけでなく、なぜそれらが優れているのかを理解するための優れたリソースとしてお勧めします。