「あなたのパスワードは間違っている」と言わないのはなぜですか？

Question

私たちが間違ったパスワードを入力すると、ほとんどのウェブサイトで「ユーザー名またはパスワードが間違っています」と表示されます。 「あなたのパスワードは間違っています」と言わないのはなぜですか？

Answer 1

ちょうど「パスワードが間違っている」というのセキュリティ上の問題を無視するよりも行うことがはるかに高速です。 まず、「あなたのパスワードが間違っている」と言うことができるかどうか確認できます。

私は大学のグループにこの質問を掲載しました。グループからの1つの回答がここではポジティブな価値があると感じました。

ウェブサイトは、ウェブサイトは、あなたが正しくあなたのユーザー名を入力したことを確認してください である場合にのみ、「パスワードが間違っている」と言うことができます。ウェブサイトはあなたのユーザー名を正しく入力したことを、どのようにして に知らせていますか？それを知る方法はありません。

認証の失敗は、次の3つの方法で発生する可能性があります

1. あなたは正しいユーザ名が、間違ったパスワードを入力することができます。
2. 正しいパスワードを入力しても間違ったユーザー名を入力することがあります。
3. 間違ったユーザー名とパスワードを入力することがあります。

ウェブサイトでは以下のように処理されます。

。ユーザー名がデータベースにない場合、Webサイトは「あなたのユーザー名が間違っています」と言うことはできません。ウェブサイトはあなたが入力したパスワードがあなたの正しいパスワードかどうかを知らないので、ウェブサイトは「ユーザー名かパスワードが間違っている」と言うことができます。のみ。

b。ユーザー名がデータベースにある場合、ウェブサイトは「あなたのパスワードは間違っている」と言うことはできません。 ウェブサイトは、入力したユーザー名が正しいユーザー名かどうかわからないためです。したがって、ウェブサイトで「ユーザー名またはパスワードが間違っています」と言うことができます。のみ。

Answer 2

誰かが有効なユーザー名とパスワードを推測しようとしている場合、「はい、有効なユーザー名を推測できました」というメッセージは表示されません。ユーザー名が他の方法で表示される場合は、特定のサイトで有用な場合とそうでない場合があります。

Answer 3

セキュリティとは別に、「怠惰な」デザインの選択肢もあります。ユーザー名が間違っているかパスワードが間違っているかどうかを個別にチェックするのはなぜか1つのクエリを書いて成功かどうかを出力するだけで、最終的にユーザーはどちらかが間違っているかどうかを知ることができます。

Answer 4

また、怠惰やコードの清潔さも保証されます。下の簡単な例。

If(password != submittedpw || username != submittedusername) 
{ 
    Print 'username and or password is wrong'; 
} 

上記

if (password != submittedpw) 
{ 
    Print 'password is wrong'; 
} 
elseif (username != submittedusername) 
{ 
    print 'username is wrong'; 
}