匿名用户名是否必要？

我将从 Windows 域的角度来解决这个问题。如果我是攻击者，我不在乎用户名是什么。我只是想要他们。因此，我将寻找一个没有 RestrictAnonymous 的系统或一个 Windows 2000 系统，并且我将扫描域中的所有用户名。或者我将在域上获得一个有效的用户帐户，然后发出所述扫描。现在我有所有用户帐户可以尝试。

哦，我也可以扫描群组。所以我会寻找看起来特别有趣的领域管理员或企业管理员或组等非常好的人。我会看看谁是相关组的成员，然后寻找他们。

因此，虽然匿名用户名可能看起来很有帮助，但我认为它们在实际提高安全性方面并没有多大作用。在解决一组特定用户的问题时，它们使最终用户、支持人员和管理员变得更加困难。

匿名用户名是另一个隐匿安全的例子。通过匿名用户名，攻击者很难从电子邮件地址中猜出它。例如，Exchange 经常使用用户名作为电子邮件地址的一部分。

正如您所说，您有一个有效的锁定策略，那么您已经有了一些安全方法，因此匿名化将使其更有可能通过暴力攻击达到极限。您应该考虑的一件事是，如果用户无意中泄露了密码怎么办？在用户名未匿名的情况下，攻击者拥有密码，并且很可能在 3 次以下尝试中就能够从他们的电子邮件中猜出用户名。如果用户名是匿名的，这不太可能。

所以拥有它们有一些好处，但这取决于这种有限的好处是否超过了简单用户名的便利性。对您的组织而言，多少安全性才足够？

安全性和可用性必须不断相互平衡。这将提高针对暴力破解或用户名猜测攻击的安全性，但会使用户的生活变得更加困难。用户现在必须记住 2 条（对他们而言）随机信息，才能登录并执行他们的工作职能。这对企业来说是一个风险，因为用户更有可能写下他们的用户名（如果他们写下他们的用户名，那么用它写下他们的密码是一个非常短的飞跃）或者忘记他们的用户名导致生产力损失.

我不认为值得随机化用户名。这些在屏幕上以明文显示，因此无论如何都非常容易受到肩部冲浪的影响。它们也会给用户带来不必要的悲伤。最重要的是，它们鼓励用户养成不良的安全习惯。

它们还可以用于屏蔽员工之间的数据。为工资单等写报告的人并不能确切地看到谁在做什么。在其他情况下，如果管理层选择裁员并且员工绩效数据以匿名用户名呈现，则不能被指责为挑剔。诸如此类的随意。

对于大型组织来说，这会产生更大的不同，因为在这些组织中，名字和姓氏的一部分会导致很多重叠。

编辑：隐藏用户名也使得找出您想要尝试破解的用户帐户变得更加困难。使用标准方案，每个人都会知道 CEO/CIO/CFO/Director 的用户名。要弄清楚他们是哪个员工编号要困难得多。

为 .EDU 工作已经出现，但不是出于安全原因。像许多人一样，我们的用户名（由于用户环境中存在较旧的 Solaris 服务器，仍然停留在 8 个字符的限制）在注册时基于真实姓名。由于我们在任何给定时间都有 19,000 到 23,000 名活跃学生，这是通过算法完成的，因此根据真实姓名猜测给定用户的用户名并不难。根据您阅读法规 (FERPA) 的方式，这可能算作他们有权选择退出的“目录服务”类型。

这就是问题。如果一个具有独特名称的用户注册，例如 Farheed Zakaria，帐户生成过程将为他们分配一个用户名。在这种情况下，这将是“zakarif”。很容易猜到。如果您认为这是一个目录并且他们选择退出，那么我们将不得不更改用户名。更改用户名是一个棘手的过程，并且不是自动化的。当学生结婚并更改他们的姓氏时，我们不会更改他们的用户名。我们有一些在 90 年代初结婚的员工，他们的用户名仍然包含他们的旧姓氏。

那么，思考一下，如果在创建帐户时我们为用户分配不太容易派​​生的名称怎么办？在我毕业的大学，上面的名字是“zaka0008”；姓氏的前四个字母和唯一性的数字。这并不容易从给定名称派生，但仍包含一些标识符以帮助用户记住它。这将使我们避免进行帐户重命名。

我们还没有这样做，因为我们还没有对 FERPA 对这种情况的适用性做出明确的裁决。但这是一个使用不太明显的用户名的真实示例。

从技术上讲，用户名是密码的一半，所以使用容易猜到的用户名与使用容易猜到的密码短语是一样的。