¿Por qué una contraseña acompañada por un nombre de usuario se considera "más segura"?

En la mayoría de los sistemas, se requiere que el nombre de usuario sea único, pero la contraseña no lo es.

Si la contraseña se usó como credencial de inicio de sesión sin un nombre de usuario, la contraseña tendría que ser única. En ese caso, los mismos ataques contra el nombre de usuario funcionarán con la contraseña, como intentar registrarse con una contraseña de diccionario y buscar un error que indique que la contraseña ya está en uso.

Antes de que se pueda validar la contraseña, se debe buscar el registro del usuario en la base de datos para que sepa qué sal usar cuando se utiliza el hash de la contraseña. Si no tuviera un nombre de usuario, tendría que extraer el salt de cada contraseña de hash almacenada, sal y el hash de la contraseña ingresada, y compare el resultado con el guardado. Esto debería hacerse para cada registro en la base de datos hasta que se encuentre una coincidencia. Esto sería prohibitivamente costoso ya que los algoritmos de almacenamiento de contraseñas (por ejemplo: bcrypt y PBKDF2) están diseñados para ser costosos, de modo que protejan contra ataques de fuerza bruta en caso de robo de la base de datos de contraseñas.

Por lo tanto, en un mundo con solo contraseñas, sería necesario crear un mecanismo de almacenamiento de contraseñas completamente nuevo. Sería caro para el atacante hacerlo en masa, pero no para que el sistema lo haga en masa al iniciar sesión en un usuario. No diré que es imposible, pero sospecho que cualquier solución sería incluso más compleja que la que tenemos. hoy.

Además de la respuesta de CoverosGene, tiene el problema de que ahora solo hay contraseñas para la autenticación de identidad y . Piénselo de esta manera, si una persona simplemente eligió su contraseña como "bob", solo tiene que resolver eso una vez y estará en su cuenta, ya que no tiene que aplicarla a ningún nombre de usuario / identidad específico. Es increíblemente fácil de descifrar, ya que nunca tiene que hacer coincidir las contraseñas con una cuenta específica, ya que es el identificador de la cuenta ahora.

Suponga en un sistema con nombres de usuario y contraseñas que su atacante haya recibido una lista de todos sus nombres de usuario registrados e intente ingresar en las cuentas. Tendrá que intentar descifrar la contraseña de cada cuenta por separado para ingresar a cada una de las cuentas. Si no hubiera un nombre de usuario por separado, no existe tal salvaguarda, ya que solo tienen que probar las contraseñas en una sola pasada del sistema.

Además de las contraseñas únicas y los problemas informáticos, aún debe poder identificar a un usuario en la mayoría de los sistemas sin autenticarlo. El mejor ejemplo es el correo electrónico: necesita tener un ID público de un usuario para poder enviarle un mensaje.

Y como desea evitar las colisiones de contraseñas, en su mundo debe asegurarse de que la contraseña de un usuario que desea recibir el correo se entregue, al menos parcialmente, desde el ID de usuario que forma parte del contraseña y no una contraseña. El "token" de autenticación aún consistirá en un ID y en un secreto, por lo que no hay razón para poner estos dos juntos y tratarlos como un solo secreto como se explica en otras respuestas.