为什么有安全意识的网站不使用私有唯一标识符和密码的组合来保护他们的登录呢？

Question

要弄清楚，当我说“私有唯一标识符”时，我指的是一个标识符，它没有存储在网站的数据库中，它将与密码和哈希表中的一个好盐结合在一起，用于每个帐户的登录信息。当一个新用户注册或忘记了他们的唯一标识符时，一个新的用户将通过电子邮件发送给他们，并说在使用密码对其进行散列并存储之后，将从服务器中删除电子邮件以及标识符的所有跟踪。为了进一步澄清，您不能使用显示名称，因为它将连接到哈希表上的帐户，并且您不能使用电子邮件地址，因为服务器需要保持未加密，以防您丢失帐户凭据，并且需要发送一个重置链接。这就像你的名字的首字母，有一个唯一的识别字母-数字或数字代码加到末尾，这是太长而不是蛮力的。

现在，我认为这对于帐户安全来说应该是一个显而易见的想法。如果您是恶意参与者，试图从网站窃取整个哈希表中的盐类和相关帐户信息，那么您可以使用该哈希表对该哈希表进行某些攻击以收集登录信息。这包括散列最常见的密码列表与salt值相结合，以找到最简单的登录。显然，这种攻击在具有安全密码的帐户上不太好用，但我将进一步寻找最大的安全性，即使是密码错误的帐户。如果您有一个带有密码的私有唯一标识符，那么使用公共密码列表的字典攻击将无法工作，因为它们没有唯一标识符，而且它不是用户选择的，因此无法找到它。

我想了几次这个方法，我觉得它很坚固，它可能已经在某个地方命名了，但是我不知道它会叫什么，我也找不到它。我知道的一件事是，我的帐户中没有一个使用这样的方法。请让我知道这种做法的名称，什么样的攻击将工作在这样的安全方法，以及为什么更多的网站不使用这样的方法。我能想到的唯一原因是，要求用户除了自己的密码之外，还要跟踪唯一的标识符--所有这些都是为了一种只为密码添加了这么多内容的安全方法，这比大多数网站想要使用的安全性更高。

谢谢你所有的回答。

Answer 1

我不知道这个模型的名称，但是我想说，如果用户还没有使用密码管理器，那么缺乏使用的主要原因是它的不灵活性质。

在此设置中，私有唯一标识符(PUI)似乎充当了第二个密码，该密码在数据库被破坏时被指定为安全密码。假设PUI是一个强密码(以15个字符的质子邮件为例)的推荐长度，那么对于多个站点来说，这几乎是不可能的。因此，他们必须使用密码管理器才能有效地使用这个系统，但是如果他们这样做，他们已经可以使用足够长和随机性的密码。

此外，PUI并不是MFA的“完全”实现，因为PUI并不是一种不同类型的证据(比如像生物识别或者像Authy应用程序那样的东西)。因此，我认为增加的安全性不如鼓励用户使用2FA那么好。

另一个更普通的原因是，这种更改将涉及更改DB中的许多表或文件(如果使用NoSQL)！要实现这一点，您可能必须更改表的主键--添加到现有站点可能是一个非常困难的安全性附加。

至于攻击，因为(假设我像你一样理解这个概念) PUI作为第二个密码，它对同样的攻击是值得怀疑的。如果它也是用您的首字母或另一个确定性前缀创建的，这可能会使它更容易中断。