User Enumeration که Brute Force هدفمند را ممکن می‌کند

خودِ brute force روی رمز عبور یک مشکل است، اما وقتی مهاجم از قبل می‌داند *کدام* ایمیل‌ها در سیستم معتبرند (از طریق پیام خطای متفاوت در فرم ورود یا ثبت‌نام)، فقط روی آن لیست دقیق تمرکز می‌کند، نه حدس تصادفی — که بازدهی حمله را چندبرابر می‌کند.

ارتباط با سایر آسیب‌پذیری‌ها

این دقیقاً همان مفهومی است که در دسته‌ی Information Disclosure هم دیده می‌شود؛ اینجا تاثیر مستقیم آن روی برنامه‌ی brute force نشان داده می‌شود.

راه‌حل

پیام خطای یکسان برای «ایمیل نادرست» و «رمز نادرست»، و ترجیحاً همان رفتار برای فرم ثبت‌نام (ایمیل تکراری) با یک پیام عمومی.