security - ユーザー名が存在しないことをユーザーに伝えるのは悪い習慣ではありませんか（例：http：//en.wikipedia.org）

Question

ログインインターフェイスを提供し、ユーザーが有効な資格情報を提供しない場合は常に、ハッキングの試みに役立つ可能性があるため、ユーザー名とパスワードのどちらが間違っているかを確認することはできないという印象を受けました。

wikipedia.orgはこの標準的な慣行に反しているように思われます。

Answer 1

答えはケース固有です。

一方では、StackOverflowなどのフォーラムをホストするWebサイトや、例ではWikipediaなどのパブリックユーザー名があります。この意味での「公開」という用語は、すべての人が見ることができる公開識別子として使用されることを意味するために使用されます。このような場合、ログインフォームにユーザー名が存在するかどうかを隠すことは意味がありません。この情報は一般公開されています。特定のユーザーの情報を表示するページであっても、Webサイトのすべてのページをスキャンすることによっても、わずかな労力でユーザー（少なくとも貢献したユーザー）の完全なリストを列挙できます。

一方、銀行のアプリケーションで使用されるようなプライベートユーザー名があります。銀行のWebサイトは、実際のユーザー名をサイトのどこにも表示しない（または少なくとも表示しない）ため、ユーザー名は純粋にWebサイトIDおよび認証ツールとして使用されます。この場合、「入力したユーザー名は存在しません。 」ではなく、「使用したユーザー名とパスワードの組み合わせが無効です。 」などの警告を表示することをお勧めします。