Énumération de noms d'utilisateur.

Forme spécifique d'énumération de comptes où la réponse de l'application confirme si un nom d'utilisateur donné existe, permettant de cibler les attaques suivantes. Cette notion relève de la catégorie Identité et accès en cybersécurité.

Forme spécifique d'énumération de comptes où la réponse de l'application confirme si un nom d'utilisateur donné existe, permettant de cibler les attaques suivantes.

L'énumération de noms d'utilisateur est le cas particulier de l'énumération de comptes où l'identifiant testé est un nom d'utilisateur, non un e-mail ni un téléphone. Pages de login distinguant "utilisateur inconnu" et "mot de passe incorrect", réinitialisations confirmant qu'un handle existe, API renvoyant 404 pour un utilisateur absent et 401 pour un mot de passe erroné, ou formulaires d'inscription révélant les handles déjà pris, exposent tous cet oracle. Avec une liste de noms valides, les attaquants peuvent mener un password spraying lent et discret, cibler l'ingénierie sociale ou corréler des identités entre services. Les défenses incluent des messages uniformes, des réponses génériques, du rate limiting, du CAPTCHA en cas d'abus et de la MFA.

Les défenses contre Énumération de noms d'utilisateur combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Énumération d'utilisateurs, Énumération de connexion.