Privacy Violation: Shoulder Surfing

Algunas API que recopilan información confidencial pueden tratarla incorrectamente al devolverla al usuario a medida que la escribe en el indicador de entrada.

Algunas API que recopilan información confidencial pueden tratarla incorrectamente y devolverla al usuario.

Ejemplo 1: el siguiente código muestra un modelo en ASP.NET que tiene una propiedad de contraseña, pero no especifica la condición de contraseña en la propiedad DataType, por lo que, de forma predeterminada, no se ocultará en la visualización:

public class User
{
  [Required]
  public int ID { get; set; }
  
  public string Title { get; set; }
  
  [DataType(DataType.Date)]
  [DisplayFormat(DataFormatString = "{0:yyyy-MM-dd}", ApplyFormatInEditMode = true)]
  public DateTime DateOfEmployment { get; set; }
  
  [DataType(DataType.Currency)]
  public decimal Salary { get; set; }
  
  [Required]
  public string Username { get; set; }
  
  [Required]
  public string Password { get; set; }
  
  ...
}

Dado que la propiedad Password en el Example 1 no especificó el atributo [DataType(DataType.Password)], no se ocultará de forma predeterminada en la interfaz de usuario.

Algunas API que recopilan información confidencial pueden tratarla incorrectamente al devolverla al usuario a medida que la escribe en el indicador de entrada.

Algunas API que recopilan información confidencial pueden tratarla incorrectamente al devolverla al usuario.

Ejemplo 1: El siguiente código demuestra que el widget TextField no oculta la contraseña de un usuario cuando la escribe en el indicador de entrada:

class SelectionContainerDisabledExampleApp extends StatelessWidget {
  const SelectionContainerDisabledExampleApp({super.key});

  @override
  Widget build(BuildContext context) {
    return MaterialApp(
      home: Scaffold(
        body: Center(
          child: Column(
            children: <Widget>[
              TextField(
                decoration: InputDecoration(
                  hintText: "Please enter your password",
                ),
              ),
            ],
          ),
        ),
      ),
    );
  }
}
  

Dado que el widget TextField del Example 1 no había creado una instancia con la propiedad obscureText establecida en true, la contraseña del usuario no se ocultará cuando la introduzca en el mensaje "Introduzca su contraseña:" .

El método identificado escribe datos confidenciales en la pantalla sin enmascararlos correctamente primero.

La función identificada recopila datos confidenciales sin deshabilitar la opción para devolverlos al usuario en el mensaje de entrada.

Ejemplo 1: El siguiente código muestra cómo instalar un objeto de campo de contraseña que no oculta la contraseña de un usuario cuando la escribe en el campo de texto:

ViewController.h:
...

@property (nonatomic, retain) IBOutlet UITextField *passwordField;

...

ViewController.m:
...

NSString *password = _passwordField.text;

...
  

Puesto que passwordField en el Example 1 no tenía la propiedad secureTextEntry establecida como true, la contraseña del usuario no se ocultará mientras la introduce en el campo de texto.

Algunas API que recopilan información confidencial pueden tratarla incorrectamente al devolverla al usuario a medida que la escribe en el indicador de entrada.

La función identificada recopila datos confidenciales sin deshabilitar la opción para devolverlos al usuario en el mensaje de entrada.

Ejemplo 1: El siguiente código muestra cómo instalar un objeto de campo de contraseña que no oculta la contraseña de un usuario cuando la escribe en el campo de texto:

...
@IBOutlet weak var passwordField: UITextField!
...
let password = passwordField.text
...

Puesto que passwordField en el Example 1 no tenía la propiedad secureTextEntry establecida como true, la contraseña del usuario no se ocultará mientras la introduce en el campo de texto.

Una contraseña que pueda ser vista pone en peligro la seguridad del sistema.

Es necesario que el propietario de una contraseña no pueda verla y el resto de usuarios no deben verla. Si la contraseña se muestra en texto sin formato, cualquiera que se encuentre cerca podría verla y utilizarla para comprometer el sistema. En seguridad informática, shoulder surfing hace referencia al uso de técnicas de observación directa, como mirar por encima del hombro de otra persona para obtener información. La observación directa es especialmente efectiva en entornos públicos con mucha afluencia de gente. Esta amenaza se aplica, en particular, a los dispositivos móviles, que por lo general se utilizan en todo tipo de entornos, tanto privados como públicos.