Os nomes de usuário anonimizados são necessários?

Question

Nosso gerente de segurança insiste em usar nomes de usuário anônimos .

Por exemplo para um usuário chamado John Doe , seu nome de usuário seria ' g74h19 ' em vez de algo como ' jdoe '.

Já temos uma política que bloqueia uma conta depois de três tentativas inválidas de logon. Então, exceto talvez por fazer um ataque DOS mais difícil, eu não posso ver como isso ajudaria na segurança - pior ainda, você não seria mais capaz de ver quem é quem nos logs.

Existe alguma recomendação de segurança que suporte nomes de usuários anônimos? (link)

Tem alguém aqui usando-os?

    

Answer 1

Vou abordar isso de uma perspectiva de domínio do Windows. Se eu sou um invasor, não me importo quais são os nomes de usuário. Eu simplesmente quero eles. Então, vou procurar um sistema que não tenha o RestrictAnonymous, ou um sistema Windows 2000, e examinarei todos os nomes de usuários no domínio. Ou ganharei uma única conta de usuário válida no domínio e, em seguida, emitirei as digitalizações. Agora eu tenho ALL contas de usuário para tentar.

Ah, e também posso procurar grupos. Então, vou procurar os realmente bons como Admins. Do Domínio ou Administradores de Empresa ou grupos que pareçam particularmente interessantes. E eu vou ver quem são os membros do grupo em questão e vou atrás deles.

Portanto, embora nomes de usuários anônimos possam parecer úteis, não acho que eles façam muito para aumentar a segurança. Além disso, eles dificultam o trabalho dos usuários finais, da equipe de suporte e dos administradores na solução de um determinado conjunto de problemas dos usuários.

    

Answer 2

nomes de usuários anônimos são outro exemplo de segurança pela obscuridade. Ao anonimizar o nome de usuário, torna-se difícil para um atacante adivinhar, digamos, um endereço de e-mail. O Exchange, por exemplo, geralmente usa o nome de usuário dos usuários como parte do endereço de e-mail.

Como você declarou que tem uma política de bloqueio em vigor, então você já tem algum método de segurança e, portanto, o anonimato aumentará a probabilidade de atingir o limite com um ataque de força bruta. Uma coisa que você deve considerar é: e se o usuário inadvertidamente entregar sua senha? Em um caso em que os nomes de usuários não sejam anonimizados, o atacante tem a senha e provavelmente conseguirá adivinhar o nome de usuário de seus e-mails em menos de três tentativas. Se o nome de usuário for anônimo, isso é muito menos provável.

Portanto, há algum benefício em tê-los, mas isso depende se esse benefício limitado supera a conveniência de nomes de usuário fáceis. Quanta segurança é suficiente para a sua organização?

    

Answer 3

Segurança e Usabilidade devem ser constantemente equilibradas entre si. Isso melhoraria a segurança contra uma força bruta ou um ataque de adivinhação de nome de usuário, mas tornaria a vida muito mais difícil para os usuários. O usuário deve agora lembrar de duas partes de informações aleatórias (para elas) para poder efetuar o login e executar suas funções de trabalho. Isso é um risco para os negócios, pois é mais provável que os usuários anote seus nomes de usuários (e, se estiverem escrevendo isso, é muito breve escrever a senha com eles) ou esquecer o nome de usuário, causando perda de produtividade. .

Eu não acredito que valha a pena randomizar nomes de usuários. Estes são mostrados em texto claro na tela, por isso são muito vulneráveis a surfar de qualquer maneira. Eles também causarão sofrimento desnecessário para os usuários. Mais importante, eles incentivam os usuários a praticar maus hábitos de segurança.

    

Answer 4

Eles também podem ser úteis para mascarar dados entre funcionários. As pessoas que escrevem relatórios para folha de pagamento, etc., não vêem exatamente quem está fazendo o quê. Outras situações em que a administração está escolhendo demissões e os dados sobre o desempenho do funcionário são apresentados com nomes de usuário anônimos que não podem ser acusados de escolher e escolher. Coisas aleatórias como essa.

Faz uma grande diferença para organizações de grande porte, em que a tomada de partes dos primeiros nomes e sobrenomes causará muita sobreposição.

Editar: nomes de usuários obscuros também tornam um pouco mais difícil descobrir quais contas de usuário você deseja incomodar tentando hackear. Com um esquema padrão, todos conhecerão os nomes de usuários CEO / CIO / CFO / Director. É muito mais difícil descobrir qual é o número de funcionários.

    

Answer 5

Trabalhando para um .EDU isso surgiu, mas não por razões de segurança. Como muitos, baseamos nossos nomes de usuários (ainda presos em limites de 8 caracteres devido à presença de servidores Solaris mais antigos no ambiente do usuário) no nome real no momento do registro. Como temos entre 19.000 e 23.000 alunos ativos a qualquer momento, isso é feito por um algoritmo, então adivinhar o nome de usuário de um determinado usuário a partir de seu nome real não é tão difícil. Dependendo de como você lê os regulamentos (FERPA), isso pode contar como um 'serviço de diretório' do tipo que eles têm o direito de recusar.

Esse é o problema. Se um usuário com um nome bastante exclusivo se registrar, Farheed Zakaria, por exemplo, o processo de geração de conta atribuirá a ele um nome de usuário. Isso seria 'zakarif' neste caso. Fácil de adivinhar. Se você considera isso como um diretório e eles optam por sair, então teríamos que alterar o nome de usuário. Alterar nomes de usuários é um processo complicado e não é automatizado. Quando os estudantes se casam e mudam seus sobrenomes, nós não mudamos o nome de usuário deles. Temos uma equipe que se casou no início dos anos 90 e que ainda possui nomes de usuários que incluem seus antigos sobrenomes.

Então, vai o pensamento, e se na criação de contas nós atribuirmos usuários com menos facilidade para obter nomes? Na universidade que me formei, o nome acima seria "zaka0008"; as primeiras quatro letras do sobrenome e um numérico para unicidade. Isso não é fácil de derivar do nome dado, mas ainda contém alguns identificadores para ajudar os usuários a lembrá-lo. Isso nos permitiria evitar renomear contas.

Ainda não fizemos isso, já que não tivemos uma decisão firme sobre a aplicabilidade da FERPA a essa situação. Mas este é um exemplo do mundo real de nomes de usuários menos óbvios.

    

Answer 6

Tecnicamente, o nome de usuário é metade de uma cifra, portanto, usar um nome de usuário facilmente adivinhado é o mesmo que usar uma frase-senha facilmente adivinhada.