El requisito de estos nombres de usuario puede hacer que los nombres de usuario sean menos predecibles. No creo que esto proporcione una mejora sustancial de la seguridad, pero puedo pensar en un par de escenarios en los que ayudan un poco. Dudo que compense la pérdida de usabilidad, pero me falta evidencia concreta para concluir. Como de costumbre, seguridad a expensas de la usabilidad, viene a expensas de la seguridad. : si es más probable que los usuarios olviden sus nombres de usuario, esto significa que o bien tendrán que almacenar su nombre de usuario en una ubicación insegura (derrotar el propósito) o tiene que haber una forma para que recuperen su nombre de usuario (que puede no estar fuertemente autenticado).
Los nombres de usuario menos predecibles mejoran la privacidad. Si trato de crear una cuenta johnsmith y falla porque ese nombre de usuario ya está en uso, esto me dice que John Smith está apostando a esa firma. Si la cuenta de John Smith es johnsmith1 , debo enumerar más nombres de usuarios. Sin embargo, con los nombres de usuario elegidos por el usuario, el sufijo 1 es una muy buena apuesta. La mayoría de los sitios web dependen de las direcciones de correo electrónico como tokens únicos: si quiero crear una cuenta como [email protected] , necesitaré probar que puedo leer el correo electrónico enviado a esta dirección. Los bancos generalmente son reacios a depender de la seguridad externa, por lo que tienden a no querer depender de los proveedores de correo electrónico.
Un número significativo de ataques a bancos se realizan en un hogar: un cónyuge, un hijo, un visitante, etc. Un nombre de usuario menos predecible puede mejorar la confidencialidad contra un atacante casual que tiene acceso a la computadora de la víctima pero es más Probable de realizar ataques oportunistas que de investigar seriamente su ataque. Nuevamente, con un nombre de usuario elegido por el usuario, el requisito de complejidad no es una mejora significativa: muchos usuarios dejarán su nombre de usuario completado en su navegador, y si no eligen johnsmith1 , es probable que se conozca la variación al atacante ya que se conocen bien.
Los nombres de usuario menos predecibles también mejoran la defensa contra ataques no dirigidos que funcionan al probar muchas combinaciones de nombre de usuario y contraseña hasta que se encuentra una débil. Una vez más, tener que probar johnsmith1 además de johnsmith no proporciona una mejora significativa.
En cuanto a los ID de usuario que no comienzan con X ... es un banco. En lo profundo de las entrañas, en algún lugar, se encuentra un programa COBOL que se ejecuta en un IBM big iron emulado que se ejecuta en un IBM big iron emulado un poco más reciente que se ejecuta en un VAX emulado que se ejecuta en una máquina virtual en un procesador x86. Antes de nacer, alguien decidió que sería una buena idea indicar los registros eliminados al poner un X en la 17ª columna. El programador de COBOL que se vio obligado a arreglar el error Y2K se ofreció a arreglarlo también, pero se le dijo que esto estaba fuera de las especificaciones del trabajo y que no debía tocar algo que funcionara (esto podría haber funcionado de manera diferente si el banco el nombre del director había sido Xavier en lugar de George).
