Perché una password è accompagnata da un nome utente ritenuto "più sicuro"?

Nella maggior parte dei sistemi, il nome utente deve essere univoco, ma la password no.

Se la password è stata utilizzata come credenziale di accesso senza un nome utente, la password dovrebbe essere univoca. In questo caso, gli stessi attacchi contro lo username funzionerebbero per la password, come provare a registrarsi con una password di parole del dizionario e cercare un errore che la password sia già utilizzata.

Prima che la password possa essere convalidata, la registrazione dell'utente deve essere cercata nel database in modo da sapere quale sale usare quando si esegue l'hashing della password. Se non si dispone di un nome utente, è necessario estrarre il sale da ciascuna password con hash memorizzata, salare e cancellare la password immessa e confrontare il risultato con quello memorizzato. Questo dovrebbe essere fatto per ogni record nel database fino a quando non viene trovata una corrispondenza. Ciò sarebbe proibitivamente costoso in quanto gli algoritmi di memorizzazione delle password (ad esempio: bcrypt e PBKDF2) sono progettati per essere costosi in modo da proteggerli dagli attacchi di forza bruta in caso di furto del database delle password.

Quindi, in un mondo con solo password, dovrebbe essere creato un meccanismo di archiviazione della password completamente nuovo. Uno che sarebbe costoso per l'attaccante di fare in massa ma non per il sistema di fare in massa quando si registra un utente. Non dirò che è impossibile, ma sospetto che qualsiasi soluzione sarebbe ancora più complessa di quella che abbiamo oggi.

Oltre alla risposta di CoverosGene, hai il problema che ora ci sono solo password per l'autenticazione di identità e . Pensaci in questo modo, se una persona ha appena scelto la sua password come "bob", devi risolverla solo una volta e sei nel loro account poiché non devi applicarlo a uno specifico nome utente / identità. È incredibilmente facile da interrompere poiché non devi mai abbinare le password con un account specifico, poiché è l'identificatore dell'account ora.

Assumi in un sistema con entrambi i nomi utente e le password che il tuo aggressore ha ottenuto un elenco di tutti i tuoi nomi utente registrati e sta tentando di entrare negli account. Dovrà provare a decifrare la password per ogni account separatamente per entrare in ciascuno degli account. Se non ci fosse un nome utente separato, non esiste una tale protezione, dal momento che devono solo provare le password in un unico passaggio del sistema.

Oltre alle password e ai problemi computazionali univoci, devi comunque essere in grado di identificare un utente nella maggior parte dei sistemi senza autenticare l'utente. Il miglior esempio è l'e-mail: è necessario avere un ID pubblico di un utente per poterlo inviare un messaggio.

E dal momento che si desidera impedire le collisioni con password, nel mondo si dovrebbe essere sicuri che la password di un utente che desidera ricevere la posta sia almeno parzialmente consegnata dall'ID utente che rende tale parte del password una non-a-password. Il "token" di autenticazione sarebbe comunque costituito da un ID e un segreto, quindi non c'è motivo di mettere insieme questi due elementi e trattarli come un singolo segreto, come spiegato in altre risposte.