![匿名用户名有必要吗?](https://linux22.com/image/483227/%E5%8C%BF%E5%90%8D%E7%94%A8%E6%88%B7%E5%90%8D%E6%9C%89%E5%BF%85%E8%A6%81%E5%90%97%EF%BC%9F.png)
我们的安全经理坚持认为我们应该使用匿名用户名。
例如,对于名为约翰·多伊他的用户名是“g74h19' 而不是像 '杰多“”。
我们已经有一项策略,即在三次无效登录尝试后锁定帐户。因此,除了可能使 DOS 攻击变得更加困难之外,我看不出这会对安全性有什么帮助 - 更糟糕的是,您将无法再在日志中看到谁是谁。
是否有支持匿名用户名的安全建议?(链接)
这里有人用它们吗?
答案1
我将从 Windows 域的角度来解决这个问题。如果我是攻击者,我不在乎用户名是什么。我只是想要它们。所以我要寻找一个没有 RestrictAnonymous 的系统,或者 Windows 2000 系统,然后扫描域中的所有用户名。或者我将获得域中的一个有效用户帐户,然后发出上述扫描。现在我有全部尝试针对的用户帐户。
哦,我还可以扫描群组。所以我会寻找真正优秀的群组,例如域管理员或企业管理员,或者看起来特别有趣的群组。然后我会查看相关群组的成员是谁,并寻找他们。
因此,尽管匿名用户名似乎有用,但我认为它实际上并没有多大提高安全性。而且在解决特定用户的问题时,它使最终用户、支持人员和管理员更加困难。
答案2
匿名用户名是另一个通过隐蔽性实现安全性的例子。通过匿名化用户名,攻击者很难从电子邮件地址等猜测它。例如,Exchange 经常使用用户名作为电子邮件地址的一部分。
正如您所说,您已实施锁定策略,因此您已经实施了一些安全措施,因此匿名化将更有可能通过暴力攻击达到极限。您应该考虑的一件事是,如果用户无意中泄露了密码怎么办?在用户名未匿名的情况下,攻击者拥有密码,并且很可能能够在 3 次尝试内从他们的电子邮件中猜出用户名。如果用户名是匿名的,这种可能性就小得多。
因此,拥有它们确实有一些好处,但这取决于这种有限的好处是否超过简单用户名带来的便利。您的组织需要多少安全保障才足够?
答案3
安全性和可用性必须不断相互平衡。这将提高对暴力破解或用户名猜测攻击的安全性,但会使用户的生活变得更加困难。用户现在必须记住 2 条(对他们来说)随机信息才能登录并执行他们的工作职能。这对企业来说是一个风险,因为用户更有可能写下他们的用户名(如果他们写下来,那么写下密码就很容易了)或忘记他们的用户名,从而导致生产力下降。
我认为不值得将用户名随机化。这些用户名以明文形式显示在屏幕上,因此很容易受到肩窥攻击。它们还会给用户带来不必要的麻烦。最重要的是,它们鼓励用户养成不良的安全习惯。
答案4
在为 .EDU 工作时,这个问题出现了,但不是出于安全原因。与许多人一样,我们的用户名(由于用户环境中存在较旧的 Solaris 服务器,因此仍然停留在 8 个字符的限制)基于注册时的真实姓名。由于我们在任何给定时间都有 19,000 到 23,000 名活跃学生,因此这是通过算法完成的,因此根据真实姓名猜测给定用户的用户名并不难。根据您对法规(FERPA)的解读,这可以算作他们有权选择退出的“目录服务”。
这就是问题所在。如果一个名字很独特的用户注册,例如 Farheed Zakaria,帐户生成过程将为他们分配一个用户名。在本例中,用户名将是“zakarif”。很容易猜到。如果你认为这是一个目录,而他们选择退出,那么我们就必须更改用户名。更改用户名是一个棘手的过程,而且不是自动的。当学生结婚并更改姓氏时,我们不会更改他们的用户名。我们有 90 年代初结婚的员工,他们的用户名仍然包含他们的旧姓氏。
那么,我们的想法是,如果在创建帐户时为用户分配不容易得出的名称会怎样?在我毕业的大学,上述名称将是“zaka0008”;姓氏的前四个字母和一个数字,以表示唯一性。这不容易从给定的名称中得出,但仍包含一些标识符来帮助用户记住它。这将使我们能够避免重命名帐户。
我们还没有这样做,因为我们还没有对 FERPA 是否适用于这种情况做出明确的裁定。但这是一个使用不太明显的用户名的真实例子。