Perché il nome da nubile della madre è ancora usato come domanda di sicurezza?

"Le domande sulla sicurezza" in generale sono un'idea incredibilmente stupida.

Ogni volta che crei una password, è un consiglio di routine dire che non dovresti usare le informazioni personali per una password, come dove sei andato a scuola o il tuo colore preferito o la macchina che guidi, perché un hacker tenta di interrompere nel tuo account potrebbe essere in grado di scoprire o indovinare queste cose. Invece, dovresti usare una stringa senza senso di lettere e cifre, che dovrebbe essere impossibile da indovinare per chiunque.

Ma ... capiamo che stringhe senza senso di lettere e cifre sono difficili da ricordare. Quindi creiamo domande sulla sicurezza, che funzionano in modo efficace come password alternative, e per queste utilizzeremo qualcosa di facile da ricordare, come dove sei andato a scuola o il tuo colore preferito o la macchina che guidi. Perché, mentre un hacker potrebbe tentare di indovinare questo tipo di informazioni personali per una password, non si verrebbe mai in un milione di anni a un hacker per tentare di indovinare la risposta a una domanda di sicurezza.

Almeno se hai usato alcune informazioni personali per una password, l'hacker non saprebbe se hai usato la tua scuola superiore o il tuo colore preferito o una macchina. Ma con le domande di sicurezza, gli diciamo qual è.

Se qualcuno ti conosce, molte domande di sicurezza sarebbero facili da trovare o indovinare. Forse ti sei trasferito qui da un'altra città, ma c'è una buona possibilità che sei cresciuto dove vivi ora, quindi indovinare le scuole superiori nella zona avrebbe una buona possibilità di ottenere un successo. Potrebbe sapere che modello di auto guidi. In caso contrario, non ci sono molte macchine diverse. Se chiedi alle persone il loro colore preferito, la maggior parte delle persone nominerà una dozzina circa. (Beh, la maggior parte degli uomini, comunque. Le donne tendono a conoscere i nomi di molti più colori degli uomini.)

Un sistema che ho appena creato un account ha limitato recentemente le loro domande di sicurezza a cose con un numero abbastanza limitato di possibilità, e quindi ha fornito dei menu a discesa per ognuno di essi! Quindi dì all'hacker, ecco le 20 possibili password a cui qualcuno poteva scegliere! Ho visto sistemi che mi fanno scegliere una password di almeno 8 caratteri, perché se ho appena digitato in 6 o 7, questo è solo un paio di miliardi di possibilità, e un hacker potrebbe ottenerlo con un attacco di forza bruta. Ma poi abbiamo una password alternativa dove elenchiamo utilmente le 20 scelte. Ciò impedisce all'hacker di doversi preoccupare di essere inciampato in base a lettere maiuscole o errori di ortografia.

La risposta è la stessa: perché nella vita reale ci sono semplici blocchi, che è così facile da bloccare o spezzare.

È sempre bene consentire all'utente di selezionare il suo livello di sicurezza.

Scommetto che la password per lanciare le bombe nucleari non può essere recuperata dal nome da nubile della madre. Ma l'utente tipico ha 2-3, forse 10 account veramente importanti. E centinaia di altri account. Per esempio. account nel negozio online elettronico. Non mi interessa davvero se qualcuno lo hackerà e saprà cosa ho comprato nel 2011. Non mi interessa l'account su un forum fai-da-te dove una volta ho chiesto un paio di consigli.

Per molti di questi account le persone hanno bisogno di "semplici serrature". Password semplici (come '123456'), nessun obbligo di cambiarlo spesso, e un modo semplice per recuperarlo. Usabilità per sicurezza. E questo non è "tristemente", ecco come deve essere, se l'utente vuole l'usabilità più della sicurezza.

Lo scopo della domanda di sicurezza è la validità a lungo termine. Devi ricordarlo quando hai dimenticato / perso la password. Ecco perché un'informazione inerente che non puoi facilmente perdere si adatta bene. Ciò significa che la prima ipotesi della domanda non è adatta.

Per quanto riguarda la seconda parte che potrebbe ottenere o già essere di dominio pubblico: a) Tali domande di sicurezza sono tipicamente (se fatte correttamente) un'opzione, non necessariamente ne hai bisogno - e puoi scegliere una delle tante. Spetta all'utente decidere in che modo è noto pubblicamente che ciascuno è nel suo contesto (in particolare, se un utente malintenzionato conosce probabilmente il suo nome normale nella fase in cui è necessario rispondere alla domanda di sicurezza).
b) correttamente implementata, la domanda di sicurezza dovrebbe essere solo una parte in un'autenticazione multipla, perché sono sempre più facili da infrangere di una password, un'altra potrebbe essere l'accesso all'indirizzo di posta elettronica con cui è stato registrato un account.

Quindi, sullo spettro dalla convenienza per garantire che la prima domanda possa essere più conveniente per gli utenti, non è necessariamente sempre una cattiva scelta. Il mio film preferito, il nome del mio animale domestico ecc. Non sono tutti i segreti più forti.

Per quanto riguarda b) Paypal utilizza questo approccio per utilizzare un approccio di autenticazione multidirezionale quando si tenta di reimpostare la password. Nel loro processo è necessario fornire risposte a più domande di sicurezza di questo tipo. Inoltre è necessario avere accesso al tuo indirizzo email. In alternativa puoi scegliere di ricevere una chiamata a un numero di telefono registrato e utilizzare il codice che ottieni come secondo metodo di autenticazione. Fa parte di un mix di misure: l'obiettivo è fornire un compromesso di praticità e sicurezza.