Tentativo di comprendere i fattori chiave nella valutazione dell'idoneità delle domande di sicurezza.
Per domande di sicurezza, intendo ad esempio:
Le domande di sicurezza sono un esempio di teatro di sicurezza. Puoi considerarli al meglio una forma di password molto debole, e sono spesso facilmente ipotizzabili.
Se hai intenzione di usarli, assicurati che siano quelli che hanno le seguenti caratteristiche:
hanno molte risposte possibili (i nomi delle città sono terribili per questo, specialmente in paesi che hanno relativamente poche grandi città come l'Australia)
la risposta non cambia nel tempo (quindi le cose preferite sono fuori)
non è facilmente ottenibile tramite social media o altre informazioni online
Devi anche considerare la tua base di utenti. È incredibile quante cose dimentichi quando invecchi.
Nel 2007 ho scritto un whitepaper su come valutare le domande di sicurezza che sei invitato a leggere per intero ma riassumerò i miei pensieri qui.
Ho applicato cinque caratteristiche per valutare le domande di sicurezza come autenticatori, quelli che sono
L'accessibilità è abbastanza costante in tutte le domande di sicurezza, quindi mi concentrerò sugli altri quattro.
Quale percentuale dei tuoi utenti può rispondere in modo veritiero alla domanda di sicurezza? Se non ho mai avuto un animale domestico, non posso fornire una risposta veritiera a "Qual era il nome del tuo primo animale domestico?" Potrebbero esserci differenze regionali o culturali che rendono difficile rispondere a determinate domande. Ad esempio, la domanda "in che stato sei cresciuto" non si applica alle persone i cui paesi non hanno stati. La privacy potrebbe anche essere una preoccupazione, a seconda di cosa la domanda sta ponendo.
La memorabilità gioca un ruolo nell'usabilità, che discuterò ulteriormente nella sezione Accuratezza.
Quanto sono diverse le risposte possibili e probabili che gli utenti daranno alla domanda di sicurezza? Se una risposta non è abbastanza unica, fornisce un'autenticazione inaffidabile dell'identità dell'utente. Chiedendo "di che colore sono i tuoi occhi?" ha un numero molto limitato di possibili risposte. Chiedendo "qual è il tuo colore preferito?" ha più risposte possibili ma ha risposte probabili molto prevedibili.
La migliore distribuzione delle probabili risposte è in un pool di possibilità sufficientemente ampio, migliore è la domanda. Questa è una sfida difficile da superare per le domande di sicurezza, poiché le risposte veritiere a molte domande saranno considerate come risposte statisticamente più probabili.
Quanto è difficile per gli utenti evitare di rivelare risposte valide a una domanda di sicurezza? Alcune risposte alle domande non sono considerate segreti e potrebbero essere note a familiari, amici, colleghi o anche estranei con accesso ai social network.
Ciò si baserà anche, in parte, sull'impegno dell'utente a mantenere segrete le domande sulla sicurezza. Un utente dovrà non solo cercare di evitare di fornire risposte a questa domanda in futuro, ma dovrà pensare se in passato ha fornito risposte che potrebbero essere cercate. Se hanno rivelato una risposta, la domanda di sicurezza associata non dovrebbe essere considerata appropriata per poterla riutilizzare.
L'integrità è anche una sfida molto complicata per le domande di sicurezza dal momento che, in base alla progettazione, sono basate su informazioni non segrete. Considera la difficoltà di un utente che non rivela la risposta a una domanda di sicurezza specifica attraverso il normale comportamento.
Con quale frequenza l'utente richiamerà correttamente la risposta alla domanda di sicurezza e la inserirà correttamente? Questo è legato all'usabilità. Idealmente si desidera una risposta che non cambierà nel tempo e che è improbabile che venga dimenticata. Di solito le domande possono essere suddivise in categorie di fatti e opinioni . I fatti sono "qual è il nome del tuo primo animale domestico" rispetto ad un'opinione come "qual è il tuo animale preferito". Come potresti sospettare, i fatti sembrano essere un po 'più facili da ricordare per le persone rispetto alle opinioni.
Molti sistemi di domande di sicurezza ignorano cose come la maiuscole o la punteggiatura delle risposte e possono persino consentire l'aggiunta o la disattivazione del carattere. Se imposti le lunghezze minime delle risposte, potresti anche costringere gli utenti a modificare legittimamente le risposte brevi in qualcosa che potrebbero non ricordare più tardi.
Questi fattori possono aiutare a confrontare diverse domande di sicurezza, ma come altri hanno sottolineato, non tendono ad essere domande di sicurezza davvero "grandi" a causa dei loro limiti intrinseci. Raccomando solo il loro utilizzo quando riesci a eliminare le domande più insulse e chiedi agli utenti di ottenere risposte valide almeno per tre alla volta.
In realtà sono stato in grado di analizzare le domande e le risposte sulla sicurezza degli utenti reali lo scorso anno e ha condiviso le mie conclusioni in alcuni discorsi . I dati supportano molti dei nostri sospetti sui problemi di unicità e scoraggia ulteriormente la dipendenza da essi per una strong autenticazione.
La maggior parte delle domande di sicurezza richiedono il tipo di informazioni che possono essere trovate in pochi minuti su un sito di social network, e quindi non forniscono alcuna sicurezza. Una buona domanda è quella in cui l'utente autorizzato è l'unica persona che conosce la risposta.
Tra quelli presenti nell'elenco, solo "qual è la tua password Internet preferita" ha un valore di sicurezza.
Alcuni sistemi ti consentono di creare la tua domanda. Ho avuto un numero di 29 cifre memorizzato per oltre 30 anni. So dove è scritto (in un libro precedentemente popolare) e quindi posso trovarlo se dovessi diventare confuso, ma nessun altro sa quale particolare numero ho in mente. Quindi sentiamo "Qual è la risposta alla tua domanda unica preferita che non è stata scritta"?
Continuo a pensare che "Qualcosa che nessuno sa (incluso me)" sia la parte più sicura di informazioni.
Leggi altre domande sui tag authentication