Come accennato, consentire agli utenti di modificare facilmente i nomi utente (chiamiamolo "nome visualizzato" per chiarire le ambiguità) rende più facile per gli utenti schivare le conseguenze di molestare o truffare altri utenti. Se il tuo sito ha un aspetto sociale, forse considera se ban, blocchi, segnalazioni, cronologie chat, ecc. Effettueranno un cambio di nome utente (ovvero un utente si renderà conto che sta parlando con lo stesso account, anche se il nome è cambiato? ).

Un altro punto da considerare è l'anonimato o i problemi di privacy. È abbastanza frequente che qualcuno faccia un account con il suo vero nome e poi per qualsiasi motivo si rammarica di avervi attribuito la sua vera identità. A volte questo è dovuto al fatto che sono stati colti in flagrante, ma spesso è anche per motivi legittimi, come la condivisione eccessiva dei dettagli personali della loro vita o per diventare vittime di bullismo. Questa recente domanda mi viene in mente come un esempio diverso:

Ho inserito accidentalmente la password di un sito web come nome utente per un altro sito web

In questo caso, invio un ticket di servizio che deve essere rivisto da un essere umano o che consente un numero limitato di modifiche al nome dell'account sembra un approccio ragionevole.

Al momento utilizziamo il tuo suggerimento in merito alle persone che ci contattano chiedendo una modifica, ma non è così scalabile a causa del lavoro manuale e ci impone di chiedere risposte alle loro domande di sicurezza per la verifica.

È decisamente sbagliato. Non solo devi farlo manualmente, ma sei anche obbligato a fornire risposte di sicurezza a tutti coloro che elaborano tali richieste.

Se vuoi mantenere il controllo, allora semi-automatizzalo: lascia che l'utente faccia tutto il lavoro preparatorio, ovvero, inserire il nuovo nome, scrivere il motivo (se ti interessa) e rispondere alla domanda di sicurezza. Ora, i ragazzi dell'help desk devono solo accettare o rifiutare la richiesta.

Molte ragioni a favore e contro il permesso di cambiare il nome utente sono state fornite nelle altre risposte. Tieni presente che potresti fare la via di mezzo: consentire una singola modifica automatica, ad esempio una volta all'anno. È abbastanza generoso da gestire il 99% delle richieste ma abbastanza limitante da prevenire la maggior parte degli abusi.

Sono un po 'sorpreso che questo non sia stato sollevato. Ma presumo che il motivo per cui molti siti non ti consentono di cambiare il tuo nome utente è perché presenta un problema se le informazioni sull'account di un utente vengono rubate poiché l'attaccante può ora cambiare completamente tutto sull'account.

è senza dubbio più complesso tentare di recuperare un account per un individuo in cui i suoi dati sono stati rubati e tutto è stato completamente cambiato. Avere un'informazione comune che non cambierà mai rende più facile per un utente fare riferimento al proprio account nel caso in cui dovesse perdere l'accesso ad esso.

Penso che alcune delle altre risposte qui abbiano fornito soluzioni migliori , ma non sono sicuro che molti di loro abbiano toccato ciò che stavi effettivamente chiedendo riguardo alle implicazioni sulla sicurezza del permesso di cambiare il nome utente.

Direi che è meglio non consentire agli utenti di modificare i propri nomi utente, ma dipende in realtà dal modello di minaccia. Ecco i pro contro di & per consentirlo:

Pro:

• Se le credenziali di un utente vengono compromesse su un altro sito, consentire agli utenti di cambiare il proprio nome utente può renderlo più difficile abbinare le credenziali dal sito compromesso al tuo sito, rendendo più difficile eseguire un attacco di credential stuffing. Tieni presente che l'utente che modifica la propria password raggiunge lo stesso obiettivo.

Contro:

• Come accennato in precedenza, rende più facile per gli utenti eseguire social progettando attacchi l'uno contro l'altro sul tuo sito.
• Hai aggiunto complessità al tuo sito, il che a sua volta aumenta il numero di potenziali bug di sicurezza. Ad esempio, se controlli la presenza di duplicati, ora hai una vulnerabilità nell'enumerazione degli utenti.

Stai essenzialmente bilanciando due problemi concorrenti, con un terzo fattore che interviene. Il primo è la sicurezza per gli utenti del tuo sito, cambiare un nome utente è un modo semplice per ingannare altre persone al fine di truffarli. Il secondo è che cambiare un nome utente è un modo semplice per ingannare altre persone al fine di sfuggirle.

Le persone che subiscono molestie preferiscono cambiare il proprio nome utente in quanto si tratta di una sospensione immediata. Le persone che molestano gli altri vorrebbero cambiarlo come puoi ottenere dalle difese iniziali. E l'altro fattore è che più parti in movimento significano più cose da colpire significa meno sicuro.

La tua prima cosa da fare dovrebbe essere decidere da che parte ti appoggiare qui. Ti stai concentrando sulla prevenzione dei truffatori o stai cercando di rendere l'ambiente il più sicuro possibile? Tenendo presente che creare un ambiente sicuro potrebbe significare non automatizzare una modifica e ci sono altri motivi per cambiare un nome utente, sia positivi che negativi. Sta a te capirlo in base a ciò che sai del tuo sito. Il secondo passo sarebbe quello di accertare se è possibile effettuare o meno un impianto sicuro per questo.

A questo punto è un diagramma di flusso. Preferiresti automatizzarlo, ma non puoi farlo in modo sicuro? Non farlo. Hai un problema con truffatori e altri attacchi di ingegneria sociale? Non farlo. Vuoi rendere più facile il cambiamento e puoi implementarlo in modo sicuro? Fallo.

Vorrei notare che, come altri hanno suggerito, tenere traccia dei nomi utente è una buona idea anche se nascosti e disponibili solo per te (idealmente nascosti se le modifiche sono per motivi di sicurezza) e aumentare il nome utente sarebbe utile un controllo di disponibilità per durare tre o giù di lì i nomi utente in tutto il sito (e qualcos'altro da rendere sicuro).

Infine hai menzionato la scalabilità. Man mano che aumenti, diventa più facile (leggi meno costoso) automatizzare cose che potresti non fare per motivi di sicurezza e difenderti dagli attacchi in un altro modo, vedi Twitter per un esempio. Se raggiungi quel punto, automatizza, prima è, meglio è.

Nella mia esperienza, consentire un cambiamento dei nomi utente laddove non era stato originariamente previsto rende il controllo / registrazione leggermente più difficile, specialmente nell'inevitabile circostanza in cui uno sviluppatore di anni fa ha deciso di aggiungere il nome utente ma non la chiave primaria a ciascuno voce di log.

Succede, specialmente quando assumi sviluppatori dilettanti / esternalizzati: i tuoi log diventeranno spazzatura che dovrai ricostruire in modo forense incrociato manualmente le date se le tue voci di log non sono mappate il nome utente della chiave primaria originale al momento dell'attività.

Quindi, prima di abilitarlo, ti consiglio di esaminare tutte le soluzioni di registrazione che potresti avere e assicurarti che stiano registrando il pk a fianco / invece del nome utente in modo da poter tenere traccia dell'identità attraverso le modifiche al nome utente.

Secondo me, questa è più una questione di strategia o architettura che di sicurezza ... A patto di mantenere un identificatore univoco interno per ogni utente (ad es. un ID univoco DB, che non cambierà mai, ma che non deve essere visualizzato da nessuna parte) e una cronologia delle modifiche per utente, gli utenti dovrebbero essere in grado di modificare i propri accessi o nomi utente. Se vuoi visualizzare la cronologia delle modifiche sulla pagina dell'utente dipende dallo scopo e dall'utilizzo del tuo software.

Personalmente trovo sempre molto fastidiosi quei servizi che impongono quel tipo di restrizioni arbitrarie ("non puoi cambia il tuo nome utente "," non puoi cambiare il tuo login "," non puoi riutilizzare le password che hai già usato in passato ", ecc.).

Tuttavia, possiamo fare la differenza tra 3 casi ( più quello generale):

1. software offline

2. servizio intranet

3. servizio Internet

4. riepilogo

1 - software offline

Nel caso di un software offline, gli utenti dovrebbero sempre essere in grado di modificare il proprio login. Tutto è locale qui, quindi non c'è motivo per vietare qualsiasi cambiamento.

2 - servizio intranet

Nel caso di un servizio intranet, molto probabilmente ci aspettiamo che gli utenti abbiano un modo semplice per contattare direttamente un amministratore.

Forse il modo più sicuro per modificare il login potrebbe essere una procedura manuale allora. Probabilmente è anche possibile garantire un modo sicuro per automatizzare la procedura.

Ma, comunque, IMHO, gli utenti dovrebbero essere in grado di modificare il proprio login e il login dovrebbe essere totalmente indipendente dall'ID univoco dell'utente.

3 - servizio Internet

Nel caso di un servizio online, penso che il login dovrebbe sempre essere l'indirizzo email dell'utente (o, forse, in alcuni casi, un numero di cellulare, tuttavia, non appena è un servizio Internet, mi aspetto che il mio utente abbia un indirizzo email e non consiglierei l'uso di un numero di telefono).

In tal caso, certo, gli utenti dovrebbero essere in grado di modificare il proprio indirizzo e-mail ogni volta che lo desiderano e, quindi, il proprio accesso (ovvero il proprio indirizzo e-mail).

Ovviamente in tal caso, dovresti assicurarti di avere una procedura adeguata, per assicurarti che quando avviene la richiesta di modifica, ci sia un meccanismo che permetta di confermare che il richiedente è il proprietario dell'account (email di verifica con link di conferma che ha una data di scadenza, diciamo 24h ma questo dipende dal tuo caso).

4 - riepilogo

• gli utenti dovrebbero sempre essere in grado di modificare i propri dati di accesso
• l'ID univoco dell'utente dovrebbe sempre essere indipendente dal login
• nel caso di un servizio Internet, evitare "username login", preferire "email address login", con una procedura di validazione / conferma
• in ogni caso potrebbe essere una buona idea tenere traccia della cronologia delle modifiche ... se la visualizzi su un "profilo utente" o meno dipende dal tuo caso d'uso specifico

Non vedo alcuna risposta controllando la domanda più importante:

Il nome utente è un segreto nel tuo sito o no?

Se il nome utente è mostrato su un utente pagina del profilo, o come l'autore nei messaggi del forum o è ricercabile in un elenco di membri, non ha funzioni di sicurezza. Pertanto, modificarlo o meno non ha alcun significato per la sicurezza.

Se il nome utente è un segreto, ad es. hai un nome visualizzato diverso o mostri il nome completo dell'utente ma utilizzi un nome breve o un alias per scopi di accesso: se il nome utente è un segreto, influisce sulla sicurezza poiché un utente malintenzionato deve conoscere sia il nome utente che la password per accedere a un account.

Tuttavia, poiché gli utenti tendono a riutilizzare i nomi utente e generalmente non considerano i nomi utente segreti nello stesso modo in cui lo fanno con le password, il nome utente è un segreto debole. Inoltre non ha alcuna importanza in molti attacchi (MtM, keylogger, phishing, hack di DB, ecc. Ecc.)

Quindi, anche se il tuo nome utente è un segreto, i vantaggi dell'usabilità (descritti in altre buone risposte) superano di gran lunga le considerazioni sulla sicurezza.

Se consenti agli utenti di utilizzare indirizzi email come nomi di accesso, devi consentire loro di modificare i loro dati di accesso:

• Se qualcuno lascia un'organizzazione, potrebbe perdere immediatamente l'accesso a quell'indirizzo e il nuovo indirizzo può essere assegnato a qualcun altro altrettanto rapidamente . (Ho dovuto cambiare ISP senza preavviso quando si sono resi conto che non potevano connettere la mia nuova casa, dopotutto, gli indirizzi e-mail sono diventati disponibili per gli altri lo stesso giorno). Anche se utilizzi l'indirizzo solo come nome di accesso e mai come per le email effettive, questo è un vettore significativo e non necessario per gli attacchi di ingegneria sociale.
• Se consenti loro di cambiare l'indirizzo email che usi per l'invio di email mentre sta ancora registrando con il vecchio indirizzo che crea confusione, una cattiva UX e porterà a chiamate di supporto.

Ci sono molti punti a favore e contro.

Ad esempio, un utente potrebbe voler cambiare il nome per evitare di essere riconosciuto perché ha notato che googando il suo nome utente dal sito A mostra il suo profilo su sito B.

D'altra parte, è importante non permettere di cambiarlo, in modo che le persone possano riconoscerlo di nuovo sul tuo sito. Pensa a un forum con un noto troll. Le persone sanno come gestirlo e non gli prestano attenzione. Fino a quando non cambia il suo soprannome. Ovviamente questa non è una vera protezione in quanto può registrare un altro nome utente, ma evita abusi cambiando il nome per ogni post.

Se il nickname è una specie di chiave primaria, non puoi permettere di cambiarlo esso. Pensa a un indirizzo e-mail oa un ID jabber. Alcuni siti ti consentono ancora di cambiare il nome e devi fare attenzione nel farlo. Se prendi in considerazione la possibilità di cambiare il tuo nickname di Twitter, è meglio registrare il vecchio nome in seguito per evitare di essere associato al nuovo utente. Questo è un punto per bloccare il nome utente per un uso futuro anche dopo l'eliminazione dell'account.

Un nome utente fa parte del processo di accesso, quindi modificarlo potrebbe fermare un attacco di forza bruta. A seconda del sito anche senza che l'aggressore sappia se la password è sbagliata o se l'intero utente non esiste.

Alla fine, penserei che il nome utente dovrebbe essere unico e probabilmente non modificabile e bloccato dopo eliminazione dell'account, ma dovresti fornire un modo per definire un nome visualizzato che sia visualizzato in modo più visibile rispetto all'handle dell'account.

Dai un'occhiata a SO, che utilizza ID o il buon vecchio ICQ che utilizza uno schema di numerazione. Le persone devono usare il nome visualizzato nel loro elenco di contatti, perché chi ricorda tutti gli UIN dei suoi amici?

Infine, la tua decisione non deve essere definitiva. Puoi sempre passare all'altro modello. Rendere modificabili i nomi utente fissi non dovrebbe essere un grosso problema, correggere i nomi utente che erano modificabili probabilmente richiederà alcune spiegazioni per i tuoi utenti.

Dobbiamo esaminare alcune delle possibili opzioni:

Perché l'utente dovrebbe voler cambiare il proprio nome utente?
-personalizzazione
-hanno uno stalker

Perché vorresti che l'utente cambiasse il proprio nome utente?
-la versatilità / personalizzazione porta a clienti fedeli

Perché l'utente non vorrebbe che altri utenti cambiassero il proprio nome utente?
-the OG hipster scusa "sono stato il primo soccerkid96 non ce ne possono essere altri"
-non riesco a pensare a nessun altro motivo

Perché non vuoi che l'utente cambi il proprio nome utente?
-qualche tipo di frode d'identità? più account di phishing che prendono il nome da xXP0rn $ L @ yerXx, detentore del record mondiale con il punteggio più alto
-potrebbero essere usati come backdoor per informazioni o possibilmente come vulnerabilità per sovraccarico di database o DDoSing

Per evitare problemi più indesiderati, Consiglierei un identificatore statico univoco per tutti gli account (non correlato al nome dell'account pubblico), pagare per la modifica del nome utente, 1 modifica del nome utente ogni 5000 anni, ecc.