Tên đăng nhập hoặc mật khẩu không chính xác: tại sao không chỉ định tên nào? [đóng cửa]

Khi đăng nhập vào trang web hoặc ứng dụng di động, nếu nhập tên người dùng / email hoặc mật khẩu không chính xác, bạn hầu như luôn được thông báo rằng "tên người dùng hoặc mật khẩu không chính xác". Tại sao nó là thông lệ để làm điều này, thay vì nói cho người dùng cụ thể liệu đó là tên người dùng / email hoặc mật khẩu không chính xác?

Tôi đoán là nó được điều khiển bảo mật ở một mức độ nào đó, nhưng nếu vậy, sự khác biệt lớn đến mức nào được cung cấp trong bảo vệ mối đe dọa bằng cách mơ hồ nói với người dùng rằng một số thông tin được cung cấp là không chính xác?

Tôi đã có rất nhiều trường hợp - đặc biệt là với các trang web cũ hơn hoặc ít truy cập hơn - nơi tôi không biết liệu phần không chính xác là email, mật khẩu của tôi hay cả hai.

Điều này đã được giải quyết tại trang web Trao đổi bảo mật CNTT .

Kẻ tấn công khó đoán được các kết hợp mật khẩu tên người dùng hợp lệ hơn là mật khẩu. Khi sự tồn tại của một tài khoản được xác nhận, nó có thể được nhắm mục tiêu (có thể với một số nghiên cứu bên ngoài trên các trang web như Facebook).

Các trang web cũng thuận tiện hơn rất nhiều khi trả về lỗi xác thực chung nếu họ truy vấn cơ sở dữ liệu cho cả hai phần thông tin xác thực của người dùng (tên người dùng và mật khẩu băm) cùng một lúc, hoặc nếu lớp xác thực bị mờ và chỉ trả về liệu người dùng là hợp pháp.

Nói chung, không tốt để tiết lộ nhiều thông tin hơn mức cần thiết. Một số kẻ tấn công có thể muốn lấy danh sách người dùng ("liệt kê"), có lẽ để lừa đảo.

Ngoài ra, nếu người dùng nhập nhầm tên người dùng để tạo tên người dùng khác nhưng lấy mật khẩu riêng (không phải mật khẩu của người dùng khác) thì sao? Sau đó, thông báo sẽ nói "sai mật khẩu" mặc dù lỗi thực sự nằm ở tên người dùng.

Dự đoán của bạn là chính xác. Chỉ định rằng tên người dùng không chính xác là một dạng Rò rỉ Thông tin . Chỉ sử dụng hình thức đăng nhập, kẻ tấn công có thể xác định xem một địa chỉ email / tên người dùng cụ thể có tài khoản trên trang web hay không.

Đó hoàn toàn là bảo mật và quyền riêng tư ... Khía cạnh riêng tư là do hầu hết mọi người sử dụng tên người dùng chung trên nhiều trang web, xác nhận tên người dùng tồn tại cho thấy một cá nhân có tài khoản trên hệ thống đó, có thể có hoặc không đáng kể tùy thuộc vào trang web hoặc người dùng, nhưng vẫn cung cấp cho một số thông tin cá nhân. Khía cạnh bảo mật khá đơn giản, nếu bạn cố xác thực tên người dùng và mật khẩu ngẫu nhiên, nói với họ tên người dùng là chính xác sẽ cắt giảm các kết hợp có thể để hack, giảm đáng kể thời gian và tăng khả năng bị hack. Có những ý nghĩa khác, nhưng đây là những ý nghĩa nhất.