Nome utente predefinito da evitare

0

Dopo questa risposta su una domanda riguardante utenti falsi, esiste un elenco generale di utenti che verrebbero considerati essere un nome utente comune?

La parte della risposta collegata a cui mi riferisco è

Don't use a common username, such as admin. This is likely to get hit by passive multi-host attacks just scanning

In cima alla mia testa posso inventare:

  • amministratore
  • amministratore
  • root

È molto più facile ottenere elenchi di password predefinite perché queste vengono principalmente con l'hardware, e naturalmente l'uso di queste è una cattiva idea; ma per quanto riguarda i nomi utente comunemente usati che dovremmo evitare?

Penso principalmente ai nuovi siti / servizi che richiedono l'accesso, ma ciò potrebbe facilmente estendersi anche all'hardware.

EDIT: Sto sviluppando alcune applicazioni / servizi che necessitano di utenti amministratori predefiniti e sto cercando di ridurre al minimo il rischio di accesso a tali utenti, anche con password complesse.

    
posta gabe3886 18.01.2016 - 12:49
fonte

2 risposte

3

TL; DR Non preoccuparti del tuo nome utente se non è il nome utente amministratore predefinito, preoccupati di proteggere le tue password con password forti e uniche.

Non c'è un buon modo per rispondere a questa domanda che può essere completamente soddisfacente, perché ci sono troppi nomi utente.

Proprio come il suggerimento di Matteo di dare un'occhiata al link , e puoi anche controllare link per ottenere un altro elenco.

Ci sono molti elenchi come quello online, quindi trovare quello che le persone si aspettano un nome utente comune è facile. Il problema che vedo è come quella persona ha formulato quella risposta che hai citato. I nomi utente più comuni non sono il problema, sono nomi utente predefiniti che possono essere modificati.

Pensa in questo modo, il tuo sistema è sicuro quanto te. Pertanto, se si utilizza admin come nome utente, ad esempio, è più facile indovinare il nome utente di un amministratore. Se si utilizza una password strong e unica per ciascun sito Web, non importa se conoscono il nome utente (che può essere ancora facile da trovare). Se usi una password debole e / o identica per ogni sito web, allora alla fine avrai un problema in cui usano un attacco di dizionario delle password perse e alla fine entrano.

Quindi concentrati maggiormente sulle password forti / uniche piuttosto che sui nomi utente comuni, perché è una parte molto piccola del problema. E a seconda del sistema, potrebbe essere molto facile trovare nomi utente validi (ad es. Indirizzi email, abbreviazioni di cognome, nome, ecc.). Anche per darti un'idea di quanto sia facile ottenere il nome utente di qualcuno, se vai su qualsiasi sito web che ti permette di registrarti, ti dirà di cosa hai bisogno per un nome utente. Se dice inserire la tua e-mail, allora sai che si tratta dell'indirizzo di posta elettronica di qualcuno, ma se si dice di inserirne uno da solo, è molto probabile che sia un nome utente comune che usano anche per altri siti web. Ora solo perché non sai cosa scelgono gli altri per il loro nome utente, questo non significa che non sia facile da ottenere. Quando gli hacker ottengono elenchi di nomi utente e password, li ottengono da siti con sicurezza più debole come forum o siti di terze parti. Dopo averne una lista, possono pubblicare siti di attacco come banche, videogiochi o anche il tuo facebook per ottenere ciò che vogliono. Questo è il motivo per cui desideri utilizzare password univoche per ogni sito web in cui vai, quindi se ciò accade, non possono entrare nella tua email e reimpostare tutte le password che hai (che possono trovare).

Dopo tutto ciò, se vuoi ancora una lista, controlla i link o cerca solo con parole chiave diverse come password comuni o popolari.

    
risposta data 18.01.2016 - 15:47
fonte
1

Un errore comune è associare un nome utente a una nota informazione come l'indirizzo e-mail dell'utente. Mentre questo rende più facile per l'utente ed elimina i problemi di supporto con funzionalità di reimpostazione della password, ecc .; è molto più facile iniziare a indovinare le password piuttosto che dover indovinare i nomi utente e le password. Un insieme abbastanza completo di best practice per l'autenticazione può essere trovato su OWASP link Implementa il maggior numero possibile di questi quando possibile.

    
risposta data 19.01.2016 - 00:54
fonte

Leggi altre domande sui tag