Se un ladro ha il telefono in suo possesso, come può essere implementato in modo sicuro il recupero password?

3

Il ripristino della password standard comporta l'invio di un meccanismo di reimpostazione della password all'utente; o per e-mail, sms o telefonata. Tuttavia, se un telefono è stato rubato, il ladro ha pieno accesso a questi servizi, rendendo l'utilizzo di tale servizio non particolarmente sicuro.

Le domande memorabili non sono l'ideale, perché possono essere indovinate (specialmente perché il ladro ha teoricamente accesso a Facebook dove è possibile trovare tali dati).

I dati biometrici non sono ancora presenti (non tutti i telefoni hanno record di impronte digitali) e il riconoscimento facciale è facile da giocare.

Qual è l'opzione migliore per fornire il recupero della password per un'applicazione mobile , partendo dal presupposto che il ladro abbia accesso agli altri servizi degli utenti?

    
posta JonW 14.09.2015 - 13:42
fonte

4 risposte

3

Se ritieni che un dispositivo sia compromesso, non puoi fare nulla che si basi sull'invio di informazioni al dispositivo. Questo include 2 fattori di autenticazione (SMS o app) ed e-mail.

L'unica opzione che hai lasciato è quella di basare il reset dell'account sull'utente conoscendo qualcosa (master password, domande di sicurezza), o incontro faccia a faccia con detto utente (a condizione che tu possa autenticarlo fisicamente). In alternativa, è possibile utilizzare la posta ordinaria standard se l'indirizzo del client è stato convalidato.

Le applicazioni di oggi non si preoccupano di fare questo, dal momento che il client è sempre virtuale e l'unica cosa che lega qualcuno al suo account è il suo indirizzo email. Questo è il motivo per cui la protezione del dispositivo portatile è necessaria per l'utente e non c'è nulla che un fornitore di servizi possa fare per evitarlo.

    
risposta data 14.09.2015 - 15:05
fonte
2

Assolutamente mieto di domande di sicurezza; indovinato dai cattivi in molti casi, come hai detto tu, e gli utenti (me compreso) li dimenticano più spesso di quanto ci si potrebbe aspettare. Altre opzioni di mantenimento segreto funzionerebbero in linea di principio. È possibile fornire una chiave di ripristino generata al momento della registrazione che gli utenti possono accedere a un sito Web o un'app al momento del ripristino oppure creare da soli un PIN di cinque o sei cifre per sbloccare l'app del telefono (che include un collegamento a un'opzione di reset che soddisferà un fattore quando attivata), sebbene tu possa progettare e testare a metà il codice di sblocco dell'app per renderlo più duro (se solo i telefoni avessero TPM) e la sua sicurezza dipenderebbe dal forza del PIN scelto dall'utente. Ma naturalmente quei problemi saranno nel mix con qualsiasi tipo di sistema basato su elementi segreti che agisce molto come una password. Forse generando una passphrase memorabile ma opportunamente casuale al momento dell'iscrizione al posto di una chiave di ripristino ..

Ma in realtà, se ci limitiamo a un processo di ripristino che non coinvolge qualcosa di simile a un'altra password / PIN / passphrase / chiave, o biometrica, o apparecchiature separate-- quelle piccole chiavi di un codice unidire possono sicuramente essere ancora utile nel 2015, quindi si potrebbe andare con il metodo comune di fare in modo che l'utente parli effettivamente con un agente del servizio clienti e rispondere a domande di verifica molto specifiche tratte dai dati utente che si stanno tenendo per loro. Ovviamente, i rappresentanti devono essere ben addestrati per essere adeguatamente accurati per contrastare l'ingegneria sociale anche qui. Un meccanismo più sicuro - se si ha il nome e l'indirizzo dell'utente - sarebbe quello di verificare l'identità come fa l'ufficio postale degli Stati Uniti quando si passa a cambiare il proprio indirizzo postale online: richiedere un servizio di verifica (o eseguire il rollover) l'utente una piccola tassa - ad esempio, $ 1. Ciò impone al resetter di inserire un numero di carta di credito / debito valido più un indirizzo di fatturazione valido associato, ecc. Quindi è possibile abbinare il nome e l'indirizzo convalidati con le informazioni dell'utente presenti sul file. Se la sicurezza è davvero, molto importante e immediata resetta e amplifica l'accesso non è, si potrebbe anche andare oltre e invece di verificare e resettare immediatamente si potrebbe verificare e spedire via posta o FedEx una chiave per l'indirizzo convalidato (con l'utente che paga per la consegna più veloce se lui o lei sceglie quella rotta, ovviamente) , come altri hanno suggerito. Oppure puoi far andare l'utente a far verificare la propria identità da un notaio (negli Stati Uniti, comunque). O ....

In ogni caso, molto dipende da come vieni in bilico sull'importanza della sicurezza rispetto all'importanza di evitare l'inconveniente degli utenti e lasciare che l'utente riacquisti l'accesso il più rapidamente possibile.

    
risposta data 15.09.2015 - 05:21
fonte
0

Le opzioni che potrei pensare erano:

installa le app anti-furto, alcune delle app che ti aiuteranno a controllare le schermate e bloccare, manipolare anche le sessioni utente della cronologia di navigazione, se stavi usando un servizio Android come android lost potrebbe aiutarti

disconnetti le sessioni e, se possibile, tieni alcuni servizi antifurto sul tuo telefono e blocca il telefono su Internet

altre soluzioni indurranno il ladro a fare clic sul link dannoso inviato da te e a controllare il tuo dispositivo, se il dispositivo fosse connesso tramite wifi potresti recuperare la posizione del wifi e bloccare il theif

l'ultima opzione potrebbe iniettare un carico utile come questo e hackerare il proprio telefono

    
risposta data 14.09.2015 - 15:11
fonte
0

La soluzione più semplice è utilizzare il numero di telefono e / o l'indirizzo email che non sono memorizzati sul dispositivo. Potrebbero essere quelli della tua famiglia o una e-mail di backup che non viene registrata a meno che non si tratti di un caso di emergenza. Dovresti incoraggiare l'utente a farlo.

    
risposta data 15.09.2015 - 06:02
fonte

Leggi altre domande sui tag