WEBアプリケーションのセキュリティチェック項目の中に、 ログイン画面でアカウントの存在有無を検知されないこと という項目がありますよね。 例えば、 認証に失敗したとき、アカウントの存在有無によってエラーメッセージを変えるな ハッシュ化されたパスワードの検証で、アカウントの存在有無によって応答時間を変えるな とか、そういう指摘を受けることがあります。 でも、最近の大手サービスでも、アカウント名とパスワードが同じ画面にあるのではなく、まずはアカウント名を入力して次の画面でパスワードを入力させるというパターンが増えています。 これって最初に書いた「ログイン画面でアカウントの存在有無を検知されないこと」に反していると思いますが、なぜAmazon, Google等のサービスではこのような設計が許容されているのでしょうか？