Warum wird Ihr Benutzername und Passwort nicht gehasht und gesalzen?

526
Glabella Streamline

Da häufige Antworten von Benutzername und / oder Kennwort bei der Protokollierung versagen, IMMER zurückgegeben wird, dass "Ihr Benutzername ODER Kennwort falsch sind" aufgrund erhöhter Sicherheit. Warum sollten die Systeme die Kombination aus Benutzername und Kennwort nicht speichern. Nichts fordert mich mehr auf, als nicht zu wissen, welche E-Mail ich verwende, und andere ausprobieren zu müssen, vor allem, wenn es maximale Begrenzungen für die Kennwortlänge gibt.

-2

1 Antwort auf die Frage

1
VortixDev

Aus dem gleichen Grund halten wir unsere tatsächlichen Namen nicht geheim: Sie werden zur Identifizierung von uns verwendet und sind von Design aus gemeinsam nutzbar.

Die Absicht ist, die Informationen eines potenziellen Angreifers zu reduzieren, indem er nicht teilt, ob er mit einem vorhandenen Benutzernamen arbeitet. Allerdings sind Systeme, die "Benutzername oder Kennwort sind falsch" verwenden, Nachrichten in der Regel noch genauso anfällig wie Systeme ohne sie. Anmeldeformulare (und manchmal auch Formulare zum Zurücksetzen von Kennwörtern) geben an, ob ein Konto vorhanden ist oder nicht. Daher ist es einfach, festzustellen, ob ein Benutzername vorhanden ist. Daher kann dieser Ansatz für legitime Benutzer frustrierender sein, als für Angreifer.

Stellen Sie sich vor, Sie versuchen, einen Freund auf einer Plattform zu finden, wenn der Klartext-Benutzername nicht gespeichert ist: Sie müssten den richtigen Benutzernamen für das Zeichen eingeben. Ein solches System wäre schrecklich unpraktisch. Ein geheimer Benutzername wäre dem zweiten Passwort ähnlich, und es gibt viel bessere Möglichkeiten, Konten zu sichern.