Diese Quelle sagt, dass es in dieser Situation fast unmöglich ist, eine Benutzeraufzählung zu vermeiden, und dass es das Beste ist, einen Angreifer zu verzögern:

Wenn Sie ein Entwickler Sie fragen sich vielleicht, wie Sie Ihre Website vor dieser Art von Angriff schützen können. Nun, obwohl es praktisch unmöglich ist, eine Kontoanmeldefunktion gegen die Aufzählung von Benutzernamen immun zu machen, ist es dennoch möglich, automatisierte Angriffe auf die Aufzählung von Benutzernamen durch die Implementierung eines CAPTCHA-Mechanismus zu vermeiden.

Ich könnte es jedoch habe etwas verpasst - ich bin auch neugierig, ob jemand eine bessere Lösung hat.

Die Alternative, mehreren Benutzern den gleichen Benutzernamen zu erlauben, ist weitaus schlimmer!

Was wirklich mit diesem System passiert

• Benutzer fordert ein neues Passwort an
• Sie müssen jetzt Kennwörter überprüfen, um sicherzustellen, dass keine Kollisionen auftreten.
• Der Benutzer kann dies verwenden, um andere Konten brutal zu erzwingen.

Das ist schlecht. Sie müssen also verhindern, dass mehrere Benutzer denselben Benutzernamen haben. Überprüfen Sie dazu Folgendes:

Was passiert, wenn ein Benutzer den Benutzernamen eines anderen Benutzers herausfinden kann?

Dies ist das Szenario, mit dem Sie konfrontiert werden, und wie verhindern Sie dies? jemand, der es böswillig benutzt. Welchem ​​Risiko öffnen Sie sich hier?

• Ein Benutzer kann einen Benutzernamen herausfinden.
• Er gewährt immer noch keinen Zugriff, da er jetzt das Passwort erraten muss

Okay, gut, dies bietet etwas mehr Sicherheit und verhindert, dass Benutzer E-Mails und andere vertrauliche Informationen verlieren. Aber jetzt möchten Sie versuchen, Angriffe abzuschwächen. Wie machen Sie das?

Abschwächen von Registrierungsangriffen

Es gibt hier einige Techniken, um dies zu verhindern, aber das mit Abstand beste ist die Ratenbegrenzung und die maximalen Versuche, die Sie protokollieren nach IP.

Ratenbegrenzung, maximale Versuche und IP-Protokollierung

Wenn ein Benutzer versucht, sich zu registrieren, kann er nur so schnell nach verfügbaren Benutzernamen suchen. In Wirklichkeit braucht eine reale Person ein oder zwei Sekunden, um einen neuen Benutzernamen einzugeben. Auf diese Weise können Sie einige einfache Checks and Balances durchführen. Dies geschieht jedoch nur dann wirklich, wenn sie versuchen, sich zu registrieren. Wenn ein Benutzer Sie angreift und einen nicht registrierten Benutzernamen verwendet, ist alles, was passiert, dass er diesen Benutzernamen registriert hat. Naja. Jetzt müssen sie den Registrierungsprozess erneut starten, und hier können Sie dies überprüfen.

• Der Benutzer versucht sehr schnell, viele Konten zu registrieren: einen Bot, stoppen Sie sie und werfen Sie sie raus (Ratenbegrenzung)
• Benutzer versucht eine Menge: Von Hand angreifen, rausschmeißen (maximale Versuche)
• Benutzer kommt zurück: Dieselbe IP-Adresse zeigt einen wirklich entschlossenen Angreifer. VERBOTEN SIE IHRE IP (maximal wiederholte Versuche)

Jetzt hat sich der Angreifer bloßgestellt und wurde auf IP-Ebene gesperrt. Sie wissen, dass hier etwas Schlimmes los ist, haben ein Protokoll mit Benutzernamen, die möglicherweise glänzten, und am besten, es gab noch keinen Verlust an persönlichen Informationen. Großartige Arbeit!

Jetzt müssen Sie jedoch zurückgehen und alle Konten abmelden, die erstellt wurden, um andere Konten zu finden. Gut, dass Sie diese Protokolle haben!

Die Nachteile von Benutzernamen ohne E-Mails

Hier ist ein großer Fehler, den Sie beachten müssen, wenn Sie kein Konto binden an eine E-Mail: Der Benutzername kann vorregistriert und als Lösegeld gehalten werden . Es ist dann äußerst schwierig, den Besitz des Benutzernamens nachzuweisen. Auf diese Weise kann jemand eine andere Art von Angriff auf Ihr System ausführen, bei dem er lediglich versucht, viele Konten von Personen vorab zu registrieren und sie als Lösegeld zu halten. Hoffentlich haben Sie ein Protokoll der oben genannten Überprüfungen, damit Sie versuchen können, sie auf frischer Tat zu ertappen.

Alternativen

Sie haben erwähnt, dass sie den E-Mail-Bestätigungsprozess bereits durchlaufen haben Eine andere Möglichkeit, dies zu diesem Zeitpunkt zu tun, besteht darin, es stattdessen mit der E-Mail zu verknüpfen. Wenn sie nach der Registrierung ihre E-Mail-Adresse ändern möchten, müssen sie sich anmelden und eine Anfrage mit einem Link zu ihrer E-Mail-Adresse senden, um sie zu ändern. Dies kann mit einem zeitkritischen Token erfolgen. Jetzt können sie auch einen Benutzernamen haben, der auf der Site angezeigt wird. Die Fallstricke werden auch hier gemindert, da sich der Anzeigename überschneiden kann und es keine Möglichkeit gibt, mit diesen Informationen auf ein anderes Konto zuzugreifen. Die E-Mail bietet jedoch eine Überprüfung der Wahrheit (und möglicherweise eine physische Kennung wie ein Profilbild).

Wenn ein Benutzer versucht, sich anzumelden, gibt er seinen Benutzernamen ein. Bei der Registrierung wird Ihnen mitgeteilt, ob ein Benutzername verwendet wird oder nicht. Wenn Sie einen verwendeten Benutzernamen finden, können Sie versuchen, sich damit anzumelden und ihn möglicherweise zu hacken.

Lösung, die auch ein weiteres Problem darstellt:
Wenn sie sich mit einer E-Mail anmelden mussten, hilft das Wissen, ob ein Benutzername verwendet wird, nicht weiter - Sie melden sich mit einer E-Mail an, die kein Benutzername ist, damit Sie dies können Ich weiß nicht, was ich in das E-Mail-Textformular eingeben soll, wenn Sie wissen, dass der Benutzername helloman vorhanden ist. Jetzt besteht das Problem darin, dem Benutzer mitzuteilen, ob die E-Mail entgegengenommen wurde.

Lösung - Wenn Sie sich registrieren, teilen Sie ihm nicht mit, ob die E-Mail angenommen wurde, sondern teilen Sie ihm mit, dass eine Bestätigungs-E-Mail gesendet wurde. Senden Sie ihnen eine E-Mail, wenn die E-Mail vor dem Senden einer E-Mail registriert wurde, die besagt, dass jemand versucht hat, ihre E-Mail zu registrieren. Wenn derjenige, der versucht hat, helloman@example.com zu registrieren, nicht der echte helloman ist, wird er wahrscheinlich den E-Mail-Posteingang von helloman nicht sehen. Und wenn der echte Höllenmensch versucht hat, mit seiner bereits registrierten E-Mail ein neues Konto zu erstellen, erhält nur er eine E-Mail mit der Meldung, dass er sich bereits registriert hat. Sofern es keinen Hacker gibt, der es geschafft hat, Helloman zu hacken, aber viele Leute wie Helloman nicht dumm sind und nicht password als Passwort verwenden, sind auch die gängigsten E-Mail-Systeme heutzutage sehr sicher, also ist es nicht so Sorgen Sie sich (und wenn er sie gehackt hat, ist dies nicht unser Problem (wenn Sie Ihren eigenen E-Mail-Server für Sie und Ihre Mitarbeiter einrichten)).

Das Ermöglichen, dass ein Benutzer (oder ein Angreifer) herausfindet, ob Benutzernamen vorhanden sind oder nicht, wird als Sicherheitsanfälligkeit "Aufzählung von Benutzernamen" bezeichnet. Dies ist hier gut zusammengefasst:

Wenn ich als Angreifer Ihre Anmeldeseite oder Ihre Seite mit vergessenem Passwort verwenden kann, um meine Liste von 10000 auf 1000 Ziele zu beschränken, werde ich dies tun

Sie können dieser Liste "Anmeldeseite" hinzufügen. Dies hilft einem Angreifer bei jeder Phishing-Kampagne oder bei jedem Angriff zum Erraten von Passwörtern. Es ist auch ein Datenschutzproblem, wenn Bobs Frau Alice herausfinden kann, ob bob@example.com auf Ashley Madison.com existiert.

Grundsätzlich, wenn Sie Benutzern erlauben, ihren eigenen Benutzernamen auszuwählen, der von ihrer E-Mail getrennt ist Um sich vor der Aufzählung von Benutzern zu schützen, sollten Sie die Anmeldung nur mit E-Mail / Passwort zulassen und einfach den Benutzernamen verwenden, um sich mit anderen Benutzern auf der Site zu identifizieren.

Auf diese Weise besteht keine Sicherheitslücke darin, Entschuldigung, der Benutzername foobar wird verwendet. Bitte wählen Sie einen anderen aus.

Dies liegt daran, dass diese Benutzernamen im Gegensatz zur E-Mail-Adresse nicht weltweit eindeutig sind. Daher wird keine Privatsphäre der Benutzer verletzt, wenn Sie sagen, dass eine genommen wird. Da Sie sich nicht direkt mit dem Benutzernamen anmelden können, führt dies nicht zu einer Sicherheitsanfälligkeit in Bezug auf die Benutzeraufzählung.

Als zusätzlichen Bonus wird dadurch auch die Wiederherstellung des Kontos und die Anmeldung einfacher ist immer gut für die Sicherheit). Das heißt, es besteht keine Notwendigkeit für die Funktion "Vergessener Benutzername" sowie für "Vergessenes Passwort". Wenn sie sich mit ihrer E-Mail-Adresse anmelden, an die sie sich erinnern, ist dies das einzige, was sie benötigen, um wieder Zugriff zu erhalten, vorausgesetzt, sie haben noch Zugriff auf ihren Email-Konto. Stellen Sie jedoch sicher, dass Sie die Benutzeraufzählung Ihrer E-Mail-Adressen verhindern - siehe diese Antwort.

Als Aktualisierung dieser Antwort stelle ich fest, dass Sie sagen, dass Sie E-Mail nicht als Benutzernamen verwenden möchten, falls der Benutzer beschließt, seine E-Mail-Adresse zu ändern. Der einzige Grund, warum ich dies als Problem ansehen kann, wenn Sie in Ihrer Architektur "Benutzername" als Primärschlüssel verwenden. Daher würde jede Aktualisierung der E-Mail-Adresse (wenn es sich um einen Benutzernamen handelt) dazu führen, dass jede verknüpfte Tabelle erforderlich ist bleibe auf dem Laufenden. Eine Neuarchitektur dieser Methode zur Verwendung unabhängiger PKs wäre die bevorzugte Lösung, anstatt den Benutzernamen statisch zu machen. (Ich habe hier eine große Annahme über Ihre Gründe dafür gemacht.)

Es gibt gute Antworten von @SilverlightFox und @MaxTheBackspace.

Ich möchte nur noch einmal eines klarstellen: Es sollte nicht standardmäßig zu irgendeinem Zeitpunkt im möglich sein Anwendung, mit der Benutzer eine (wahrscheinliche) globale eindeutige Kennung wie eine E-Mail-Adresse auflisten können. Nicht ein einziges Mal. Nicht mit IP-Adressüberwachung und Ratenbegrenzung und einem CAPTCHA in klingonischer Sprache, das von einem Kleinkind mit Fingerfarbe erstellt wurde.

Hier geht es nicht nur um die Sicherheit Ihres Dienstes, sondern auch um die Privatsphäre des Benutzers.

Möglicherweise empfiehlt es sich, den Anmeldevorgang mit einer E-Mail und nicht mit einem Benutzernamen durchzuführen. Wenn Sie einen Benutzernamen benötigen, indem Sie ihn nicht zur Authentifizierung machen, kann ein Angreifer die Verfügbarkeitsprüfung für den Benutzernamen nicht mehr als bösartiges Tool verwenden. Zu diesem Zeitpunkt ist der Benutzername nur Eitelkeit und öffentlich zugängliche Identität.

Ich weiß in einem Kommentar, dass Sie angegeben haben, dass Ihr Benutzer seine E-Mail-Adresse ändern kann, damit Sie dies nicht tun Dies ist eine völlig akzeptable Vorgehensweise, um die Änderung der E-Mail-Adresse zu ermöglichen. Die Website, auf der Sie sich befinden, funktioniert auf die gleiche Weise.

Jetzt müssen Sie überprüfen, ob sich bereits jemand mit einer E-Mail-Adresse registriert hat. Für den Anfang ist es für jemanden viel schwieriger, someguy54@emaildomain.com über someguy zu erraten. Und wenn der Angreifer dann von someguy in Ihrem Dienst wusste und ihn gezielt angreifen wollte, musste er die E-Mail, mit der er sich angemeldet hatte, zusammen mit seinem Passwort kennen und nicht nur ein Passwort.

Es kommt jedoch zu automatisierten Angriffen und anhaltenden manuellen Angriffen. Es ist sehr schwer zu sagen, ob jemand, der 50 Benutzernamenkombinationen ausprobiert hat, nach Informationen sucht oder nur versucht, den perfekten Benutzernamen zu finden, den er rechtmäßig verwenden möchte. Wenn jedoch jemand versucht, sich mit 5 verschiedenen E-Mails anzumelden, ist dies eine viel größere rote Fahne für Missbrauch.

Wenn Sie also die Authentifizierung auf E-Mail über den Benutzernamen umstellen, erhalten Sie:

• Keine öffentlich zugänglichen Authentifizierungsinformationen
• Schwierigeres manuelles Erraten von Informationen
• Einfachere Erkennung von Missbrauch

Der Nachteil ist ein potenzielles Datenschutzleck, wie von erwähnt Lukas in den Kommentaren. Wenn jemand wissen möchte, ob ein bestimmter Benutzer Mitglied ist und weiß, mit welcher E-Mail er sich wahrscheinlich anmelden würde, kann er dies mit Ihrem Registrierungssystem abgleichen.

Wenn ich aus Sicht der Benutzeroberfläche / Benutzerfreundlichkeit bereits drei Schritte unternommen habe (E-Mail, Telefon / Recaptcha), verringert dies die Wahrscheinlichkeit eines Maschinenangriffs, und weitere Straßensperren verringern die Anzahl der Personen, die dies möchten Melden Sie sich an, aber geben Sie frustriert auf. Es macht mir persönlich überhaupt nichts aus, wenn ich versuche, MarkyMark zu wählen (Nein, ich bin nicht der Rapper), und wenn ein anderer Möchtegern-Rapper diesen Namen verwendet hat, wäre ich weitaus lieber Lassen Sie mich auf der Website mitteilen, dass MarkyMark bereits verwendet wird (und bieten Sie, wie andere vorgeschlagen haben, auch die Möglichkeit an, sich als MarkyMark anzumelden, falls ich nur vergessen habe, dass ich mich bereits 3 Jahre registriert habe vor), und wenn die Site dann vorschlägt, ich versuche MarkyMark345 oder MarkyMarkyMark - das verrät nicht unbedingt, dass es MarkyMark1 bis MarkyMark344 wird bereits verwendet. Ich schätze die Vorschläge. Sobald eine Site MarkyMark78 vorgeschlagen hat und ich MarkyMark77 ausprobiert habe, war erfolgreich.

Das Auflisten von Benutzernamen ist eine Bedrohung, da die Kombination aus Benutzername und Kennwort einem Angreifer Zugriff auf das Konto / System gewährt.

Wie viel einer Bedrohung von Ihrer abhängt System. In einem Forum, in dem der Benutzername ohnehin an jeden Beitrag angehängt ist, ist diese Bedrohung beispielsweise sehr gering. Wenn Sie sichere Kennwörter erzwingen, wird die Bedrohung verringert.

In Ihrem Szenario wäre die Aufzählung aufgrund all der Daten, die Sie vor diesem Schritt überprüft haben, unglaublich kostspielig. Hören Sie also auf, Ihr Gehirn zu ficken, und gehen Sie einfach voraus und sagen Sie ihm "Benutzername genommen", mit Alternativen angeboten, wie von Mark Stewart vorgeschlagen.

Dies ist im Allgemeinen kein ernstes Problem , es sei denn, Ihre Benutzernamen sind E-Mail-Adressen, die das Spammen oder Phishing Ihrer Benutzer ermöglichen würden. (Oder auch potenziell , wenn Sie eine Messaging-API bereitstellen.)

Das heißt , wenn Sie der Meinung sind, dass der zugrunde liegende Benutzername ein Geheimnis sein muss: Let Neue Benutzer wählen einen Anzeigenamen , erlauben ihnen jedoch nicht, ihren zugrunde liegenden Benutzernamen auszuwählen. Bieten Sie stattdessen entweder OAuth an oder hängen Sie eine Zufallszahl oder ein Wort an ihren Anzeigenamen an Verwenden Sie diese Option, wenn Sie sich anmelden.

Und selbst dann, wenn Sie über eine Messaging-API verfügen, besteht die eindeutigere Schutzmaßnahme darin, sicherzustellen, dass Nachrichten eindeutig mit dem ursprünglichen Benutzernamen gekennzeichnet sind.

Nun, das erste, was ich zu sagen habe, ist, was ich fast jedem sage, der Fragen zu Benutzername / Passwort stellt: hör auf damit . Verwenden Sie OpenID und verlassen Sie das Geschäft mit Benutzernamen / Kennwörtern.

Zweitens sollten Benutzernamen als Schutz vor Hash-Kollisionen und nicht als Sicherheit betrachtet werden - d. H. Zwei Personen mit demselben Kennwort. In einem Sicherheits-POV sollten Sie den Benutzernamen als eines der Elemente betrachten, die ein Angreifer bereits kennt, und nicht als zusätzliche Sicherheit.

Daher würde ich vorschlagen, E-Mail- und möglicherweise Telefonnummern sowie Benutzernamen zuzulassen, um einen zu identifizieren Konto, in dem sie OpenID entweder nicht verwenden können oder nicht (obwohl ich es wirklich erzwingen würde, indem ich meinen eigenen internen Anbieter als zweite App einrichte).

Schließlich, wenn Sie dies getan haben Um einen Benutzernamen zu erhalten, begrenzen Sie die Anzahl der Übermittlungen. Nehmen Sie sich mindestens zwei Sekunden Zeit, um die Antwort zurückzugeben, und verdoppeln Sie die Zeit für jeden Versuch. Sie müssen den gesamten Vorgang erneut durchlaufen, wenn die Sitzung abgebrochen wird, ohne einen Benutzernamen auszuwählen.