Es gibt zwei Hauptargumente für die Durchsetzung von Anforderungen / Einschränkungen bei der Auswahl von Benutzernamen. Das erste ist, dass es für Angreifer schwieriger ist, Benutzernamen vorherzusagen, um Online-Ratenangriffen zu widerstehen. Während Benutzernamen nicht unbedingt als so geheim wie Passwörter angesehen werden, sind sie eine von mindestens zwei Informationen, die gestohlen werden müssen, um sich als Benutzer auszugeben. Wir sollten den Vorteil dieser Informationen, die Angreifern unbekannt bleiben, nicht ausschließen.

Das Papier von 2007 Erfüllen starke Webkennwörter etwas? (PDF) bewertet die Bedrohung durch das Erraten von Online-Passwörtern und prüft, welche Optionen wir zur Bekämpfung dieser Bedrohung haben. Eine Site kann eine strengere Kennwortrichtlinie durchsetzen, die die Benutzerfreundlichkeit beeinträchtigen kann, wenn Benutzer Schwierigkeiten haben, den Prozess einzuhalten, und Frustration mit dem Prozess verspüren. Oder die Site kann einige Einschränkungen für Benutzernamen durchsetzen und die Kennwortrichtlinie beibehalten. Ihre Theorie besagt, dass es weniger wichtig ist, wenn ein Angreifer viele mögliche Kombinationen ausprobieren muss, ob dies auf einfache Benutzernamen und komplizierte Passwörter oder auf halbkomplizierte Benutzernamen und halbkomplizierte Passwörter zurückzuführen ist.

Dies ignoriert eine dritte Option der Site, die einen zweiten Authentifizierungsfaktor hinzufügt, um die Sicherheit eines Kennworts zu ergänzen, während Benutzernamen in Ruhe gelassen werden. Außerdem muss die Site härter arbeiten, um die Offenlegung gültiger Benutzernamen zu vermeiden, die Angreifer dann mit möglichen Kennwörtern koppeln können.

Das zweite Argument ist, dass eine Site durch die Durchsetzung einiger eindeutiger Benutzernamenanforderungen hoffen kann, Benutzer davon abzuhalten, dieselben Anmeldeinformationen zu wählen, die sie auf anderen Sites verwendet haben. Dies ist eine sehr reale Bedrohung, und es ist schwierig für eine Site, etwas anderes zu tun, als ungewöhnliche Benutzernamenanforderungen durchzusetzen (oder IDs selbst zuzuweisen). Eine großartige Studie aus dem Jahr 2010 überwachte jedoch die tatsächliche Wiederverwendung von Benutzernamen und Passwort durch Personen zwischen ihren Banken und anderen Websites. Die Studie ergab, dass Personen ihr Bankkennwort in 73% der Fälle tatsächlich auf anderen Websites wiederverwendeten, aber auch fanden, dass Personen diesen Benutzernamen auf mindestens einer anderen Seite wiederverwenden würden, selbst wenn eine Bank eindeutige Benutzernamenkonventionen durchsetzen würde Site in 42% der Fälle.

Durch die Durchsetzung eindeutiger Benutzernamenanforderungen wurden die Chancen für die gemeinsame Nutzung von Anmeldeinformationen verringert, diese Möglichkeit wurde jedoch sicherlich nicht ausgeschlossen. Dieses geringere Risiko wird von einigen Websites möglicherweise immer noch als die Unannehmlichkeit für die Benutzer angesehen.

Ein weiterer möglicher Grund, der weniger ein Argument als vielmehr eine Anforderung ist, ist die Legacy-Systemkompatibilität. Unabhängig davon, welche möglicherweise alte Software die Back-End-Verarbeitung hinter dem pfiffigen Web-Front-End ausführt, wurde sie möglicherweise so codiert, dass nur Benutzernamen akzeptiert werden, die auf eine bestimmte Weise formatiert wurden. Ohne diese Software herauszureißen und zu ersetzen, kann die Website stecken bleiben und die Einschränkung an die Kunden weitergeben. Die Zeile "Benutzer-IDs können nicht mit einem X beginnen" lässt mich glauben, dass dies in Ihrem Fall ein Faktor sein kann.

Diese Anforderung an Benutzernamen kann dazu führen, dass Benutzernamen weniger vorhersehbar sind. Ich denke nicht, dass dies eine wesentliche Sicherheitsverbesserung darstellt, aber ich kann mir einige Szenarien vorstellen, in denen sie ein wenig helfen. Ich bezweifle, dass dies den Verlust der Benutzerfreundlichkeit ausgleicht, aber mir fehlen konkrete Beweise, um daraus zu schließen. Wie üblich geht Sicherheit auf Kosten der Benutzerfreundlichkeit auf Kosten der Sicherheit.: Wenn Benutzer ihre Benutzernamen mit größerer Wahrscheinlichkeit vergessen, bedeutet dies, dass sie entweder ihren Benutzernamen in einem unsicheren Bereich speichern müssen Standort (der den Zweck zunichte macht) oder es muss eine Möglichkeit geben, ihren Benutzernamen (der möglicherweise nicht stark authentifiziert ist) wiederherzustellen.

Weniger vorhersehbare Benutzernamen verbessern die Privatsphäre. Wenn ich versuche, ein johnsmith -Konto zu erstellen, dies fehlschlägt, weil dieser Benutzername bereits verwendet wird, wird mir mitgeteilt, dass John Smith bei dieser Firma Bankgeschäfte tätigt. Wenn John Smiths Konto johnsmith1 ist, muss ich weitere Benutzernamen auflisten. Bei vom Benutzer ausgewählten Benutzernamen ist das Suffix 1 jedoch eine sehr gute Wahl. Die meisten Websites verwenden E-Mail-Adressen als eindeutige Token. Wenn ich ein Konto als john.smith@emailprovider.example.com erstellen möchte, muss ich nachweisen, dass ich an diese Adresse gesendete E-Mails lesen kann. Banken sind in der Regel nur ungern auf externe Sicherheit angewiesen, daher möchten sie in der Regel nicht auf E-Mail-Anbieter angewiesen sein.

Eine erhebliche Anzahl von Angriffen auf das Bankwesen wird in einer häuslichen Umgebung ausgeführt - einem Ehepartner, einem Kind, einem Besucher usw. Ein weniger vorhersehbarer Benutzername kann die Vertraulichkeit gegenüber einem gelegentlichen Angreifer verbessern, der Zugriff auf den Computer des Opfers hat, aber eher opportunistische Angriffe ausführt, als seine Angriffe ernsthaft zu untersuchen. Auch bei einem vom Benutzer ausgewählten Benutzernamen stellt die Komplexitätsanforderung keine wesentliche Verbesserung dar: Viele Benutzer lassen ihren Benutzernamen in ihrem Browser vorab ausgefüllt, und wenn sie nicht johnsmith1 auswählen, die Variation ist dem Angreifer wahrscheinlich bekannt, da er sich gut kennt.

Weniger vorhersehbare Benutzernamen verbessern auch die Verteidigung gegen nicht zielgerichtete Angriffe, die funktionieren, indem viele Kombinationen aus Benutzername und Passwort ausprobiert werden, bis ein schwacher gefunden wird. Auch hier bedeutet es keine signifikante Verbesserung, johnsmith1 zusätzlich zu johnsmith ausprobieren zu müssen.

Benutzer-IDs, die nicht mit X beginnen … es ist eine Bank. Tief im Darm befindet sich irgendwo ein COBOL-Programm, das auf einem emulierten IBM Big Iron ausgeführt wird, das auf einem etwas neueren emulierten IBM Big Iron ausgeführt wird, das auf einem emulierten VAX ausgeführt wird, das in einer virtuellen Maschine auf einem x86-Prozessor ausgeführt wird. Bevor Sie geboren wurden, hat jemand entschieden, dass es eine gute Idee ist, gelöschte Datensätze anzugeben, indem Sie ein X in die 17. Spalte einfügen. Der COBOL-Programmierer, der nicht mehr verpflichtet war, den Y2K-Fehler zu beheben, bot an, dies ebenfalls zu beheben. Ihm wurde jedoch mitgeteilt, dass dies außerhalb der Jobspezifikation liege und er nichts berühren dürfe, was funktioniert (dies hätte anders funktionieren können, wenn die Bank Der Name des Regisseurs war Xavier anstelle von George.

1. Um Benutzer-IDs weniger vorhersehbar zu machen.
2. Um sich an andere Systeme anzupassen.
ol>

Die Gründe für weniger vorhersehbare Benutzer-IDs können sein:

1. Eine Anwendung begrenzt eine Anzahl von Kennwortschätzungen (typisch für Internetbanking) pro Benutzer-ID. Dann kann ein Angreifer einen Angriff starten, "versuchen Sie das Passwort 123456 für alle bekannten Benutzer-IDs". Wenn der Angreifer die große Anzahl von Benutzer-IDs nicht kennt, ist dieser Angriff nicht sehr sinnvoll.

2. Eine Anwendung weist möglicherweise einige Sicherheitslücken im Design auf, die wir nicht kennen. Beispielsweise kann eine Anwendung eine Benutzer-ID verwenden, um ein Sitzungstoken abzuleiten.

ol>

'X', da der erste Buchstabe möglicherweise nicht zulässig ist, um zu verhindern, dass eine Benutzer-ID von einigen interpretiert wird ( Legacy-System als Hexadezimalzahl.

Ich bin damit einverstanden, dass das Erzwingen eines seltsamen Benutzernamens das Aufbrechen des Kontos etwas schwieriger macht (da es als eine Art zweites Passwort funktioniert), anstatt denselben Benutzernamen wie im XYZ-Konto zu haben, dessen Passwort sie wiederverwenden. (Das Auferlegen einiger Anforderungen erleichtert es jedoch auch, dass der Benutzer seinen eigenen Benutzernamen vergisst!)

Der Hauptgrund für die Festlegung einer Mindestlänge für den Benutzernamen besteht darin, sicherzustellen, dass keine gebräuchlichen Namen wie "Joe" verwendet werden. aber etwas Einzigartigeres erzwingen (vielleicht fügen sie Nachnamen, ein Datum hinzu…)

Wenn sie telefonisch informiert werden müssen, ist es sinnvoll, Sonderzeichen einzuschränken. Das Erfordernis eines Briefes würde auch dazu beitragen, dass er wie ein normaler Benutzername aussieht. Ich halte es nicht für sinnvoll, eine Nummer im Benutzernamen anzugeben.

Die Bankregeln sind im Allgemeinen viel vernünftiger. Ich vermute, dass Benutzernamen, die mit X beginnen, intern verwendet werden (z. B. ein Testbenutzer, ein reserviertes Konto…).

Ich bin damit einverstanden, dass das Erzwingen eines seltsamen Benutzernamens das Aufbrechen des Kontos etwas schwieriger macht (da es als eine Art zweites Passwort funktioniert), anstatt denselben Benutzernamen wie im XYZ-Konto zu haben, dessen Passwort sie wiederverwenden. (Das Auferlegen einiger Anforderungen erleichtert jedoch auch, dass der Benutzer seinen eigenen Benutzernamen vergisst!

Unterschiedliche Einschränkungen haben wahrscheinlich unterschiedliche Quellen.

Wenn Sie den Zeichensatz in einem Benutzernamen auf ASCII-Alphanumerik beschränken, kann der Benutzername problemlos in einer Vielzahl von Datenformaten gespeichert und nicht als verwendet werden Ein Vektor für die meisten Arten von Injection-Angriffen (SQL-Injection, HTML-Injection, Shell-Injection usw.), da die "markup-signifikanten" Zeichen außerhalb des Bereichs der ASCII-Alphanumerik liegen. Dies bedeutet auch, dass Ihre Mitarbeiter problemlos mit dem Benutzernamen arbeiten können.

Das Verbot vollständig numerischer Benutzernamen ist wahrscheinlich ein Versuch, Verwechslungen zwischen Benutzernamen und numerischen Benutzer-IDs zu vermeiden.

Eine weitere Quelle für Einschränkungen kann sein ein Wunsch sein, Überschneidungen zwischen den Benutzernamen verschiedener Benutzergruppen (interne menschliche Benutzer, externe Webbenutzer, Systembenutzer usw.) zu vermeiden. Dies ist der Grund, warum Debian Konten, die auf salsa.debian.org erstellt wurden, mit dem Suffix "-guest" versehen muss, und möglicherweise auch der Grund dafür, dass "mindestens eine Nummer enthalten muss" und "nicht mit X beginnen kann". Gründe.