¿Qué tan seguro es reemplazar la cuenta predeterminada por una nueva?

Question

¿Qué tan seguro es reemplazar la cuenta predeterminada por una nueva?

#1 de Hross (4 votos)
#2 de techraf (3 votos)

2

Al obtener un nuevo dispositivo, ya sea un firewall o similar, ¿es más seguro reemplazar la cuenta de administrador / nombre de usuario predeterminado con una cuenta con un nombre diferente pero con el mismo nivel de privilegio?

En mi opinión, ¿el único escenario en el que esto es beneficioso es que la cuenta de reemplazo sea un nombre de usuario complejo?

De lo contrario, si reemplaza "Admin" por "ourcompany_admin" o algo similar, simplemente le comprará solo una pequeña cantidad de tiempo adicional si es forzado por la fuerza bruta.

authentication account-security

pregunta gb5757870 08.08.2016 - 01:57

fuente

2 respuestas

Lea otras preguntas en las etiquetas authentication account-security

¿Es seguro proporcionar información de la tarjeta de crédito por correo electrónico? ¿Por qué Google no publica imágenes de firmware de Android con muchos controladores, que funcionarán en muchos dispositivos?

score 4 · Answer 1

Al crear una nueva cuenta de administración (y deshabilitar la cuenta de administración predeterminada) o al cambiar el nombre de la cuenta de administración predeterminada, un atacante tendría que averiguar primero el nombre de la cuenta de administración para poder comenzar a forzar la cuenta. / p>

Siendo generoso con la pregunta, tome explote el código del reciente CVE-2016-6210 de OpenSSHD como un Ejemplo: el atacante debe tener conjeturas sobre cuáles podrían ser los nombres de usuario para ver si el usuario es real o no. En realidad (dado que era una vulnerabilidad en OpenSSHD), los mecanismos de autenticación usualmente no proporcionan una manera de determinar si un usuario es real o no: el intento de inicio de sesión se autentica y le permite ingresar a < em> o el intento de inicio de sesión falla.

Cambiar el nombre de usuario de administrador predeterminado se agrega a la seguridad a través de la oscuridad (muchas personas no se suscriben al concepto). Esto realmente solo ayuda con los intentos de fuerza bruta, ya que una vez que un atacante puede explotar el mecanismo de autenticación, usando cosas como la inyección de código, etc., el atacante puede evitar la necesidad de un nombre de usuario real.

score 3 · Answer 2

La configuración de una cuenta de administrador independiente crea una nueva ID de usuario en el sistema (y eso tiene un efecto mayor en la seguridad que solo un nombre de cuenta diferente).

En teoría, podría protegerlo de una vulnerabilidad en el software si un desarrollador tomó el acceso directo y realizó una referencia explícita a la ID de cuenta del administrador predeterminada en algún lugar del código.

También cuando configura una nueva cuenta, debe asignar los permisos. Si se abstiene de agregar permisos completos de forma masiva, pero asigna solo los necesarios, termina usando una cuenta menos privilegiada (por lo tanto, más segura).

Hubo casos de sistemas en los que el administrador integrado siempre tuvo mayores privilegios que los creados a pedido. En particular, podría tener derecho a anular / restablecer cualquier restricción impuesta.

Finalmente, en caso de un compromiso, es mucho más fácil bloquear o revocar los permisos a la cuenta de administrador creada manualmente que la incorporada.