211service.com
Le tue 'domande segrete' hanno una risposta troppo semplice?
L'esperienza di Brian Green con domande non così segrete è iniziata quando ha effettuato l'accesso al suo account di World of Warcraft nel marzo di quest'anno e ha trovato tutti i suoi personaggi in mutande. Qualcuno aveva rubato l'account e venduto tutta la sua attrezzatura virtuale.
Il mio primo pensiero è stato che avrei potuto avere un keylogger sul mio computer, ha scritto Green in una descrizione dell'evento. Tuttavia, le sue ricerche sull'incidente e la capacità dell'attaccante di cambiare più volte le password del suo account hanno portato Green, che è lui stesso un game designer, a una conclusione diversa: la mia 'domanda segreta' ha una risposta fin troppo comune... Questa non era qualcosa che ho considerato quando l'ho compilato molto tempo fa.
L'incidente mostra somiglianze con il caso di alto profilo che coinvolge il governatore dell'Alaska ed ex candidata alla vicepresidenza Sarah Palin. Nel settembre 2008, gli hacker hanno utilizzato il nome del luogo in cui Palin e suo marito si sono incontrati per accedere al suo account di posta elettronica Yahoo tramite il meccanismo di recupero della password della domanda segreta.
Palin e Green non sono soli. Nella ricerca da presentare al Simposio IEEE su sicurezza e privacy questa settimana, i ricercatori di Microsoft e della Carnegie Mellon University hanno intenzione di dimostrare che le domande segrete utilizzate per proteggere le funzioni di reimpostazione della password di una varietà di siti Web sono deplorevolmente insicure. In uno studio che ha coinvolto 130 persone, i ricercatori hanno scoperto che il 28% delle persone che conoscevano e si fidavano dei partecipanti allo studio potevano indovinare le risposte corrette alle domande segrete dei partecipanti. Anche le persone di cui il partecipante non si fidava avevano ancora il 17% di possibilità di indovinare la risposta corretta a una domanda segreta.
Le domande segrete da sole non sono sicure come vorremmo che fosse la nostra autenticazione di backup, afferma Stuart Schechter, ricercatore del gigante del software Microsoft e uno degli autori del documento. Né sono abbastanza affidabili che il loro uso da solo sia sufficiente per garantire che gli utenti possano recuperare i propri account quando dimenticano le password.
Le domande meno sicure sono quelle semplici le cui risposte possono essere indovinate senza alcuna conoscenza esistente dell'argomento, affermano i ricercatori. Ad esempio, le risposte alle domande Qual è la tua città preferita? e qual è la tua squadra sportiva preferita? erano relativamente facili da indovinare per i partecipanti. Tutto sommato, il 30 percento e il 57 percento delle risposte corrette, rispettivamente, sono apparse nella lista dei primi cinque tentativi.
Ma anche le risposte che richiedono solo poche conoscenze personali per essere indovinate dovrebbero essere considerate pericolose, avvertono i ricercatori. Di persone di cui i partecipanti non si fiderebbero con la loro password, il 45 percento potrebbe ancora rispondere a una domanda su dove sono nati e il 40 percento potrebbe dare correttamente il nome del proprio animale domestico, hanno scoperto i ricercatori.
Gli schemi di autenticazione del backup dovrebbero avere due caratteristiche importanti, afferma Schechter. Dovrebbero essere affidabili, consentendo a un utente legittimo di riottenere l'accesso al proprio account, e dovrebbero essere sicuri, impedendo a utenti non autorizzati di ottenere l'accesso.
Lo studio ha scoperto che le domande segrete sono insufficienti su entrambi i conti. Anche per le domande più memorabili - Yahoo, come si è scoperto - i partecipanti hanno dimenticato il 16 percento delle risposte entro tre-sei mesi. Nel complesso, hanno scoperto i ricercatori, una persona su cinque ha dimenticato tutte le risposte alle proprie domande segrete.
Le persone tendono a sottovalutare la probabilità che dimentichino qualche tecnica intelligente o una risposta disinvolta, dice Schechter.
Per quasi un decennio, l'esperto di sicurezza Bruce Schneier ha criticato le domande segrete per la loro vulnerabilità agli attacchi. Nel 2005, scriveva Schneier, mi piace pensare che se dimentico la mia password, dovrebbe essere davvero difficile accedere al mio account. Voglio che sia così difficile che un attaccante non possa farlo.
Tuttavia, le aziende focalizzate sulla riduzione dei costi del servizio clienti hanno introdotto una backdoor negli account delle persone che è più facile da aggirare rispetto al tentativo di indovinare la password, afferma. La strana cosa di sicurezza che viene fatta è che esiste un sistema di backup per reimpostare la password che è meno sicuro del sistema che dovrebbe supportare, afferma Schneier.
Schechter concorda sul fatto che i ricercatori dovranno trovare un meccanismo completamente diverso per l'autenticazione del backup: le domande segrete semplicemente non lo tagliano. Alla fine vorremmo vedere queste domande scomparire, dice. Sfortunatamente, dal momento che non abbiamo trovato molte domande conclusivamente buone, è difficile consigliare semplicemente di cambiare le domande.
Schechter consiglia di non scegliere domande che potrebbero avere risposte comuni. Schneier va oltre e dice che spesso digita solo una risposta casuale; se ha bisogno di recuperare una password, dice, chiamerà l'azienda.
Green, la cui domanda segreta ha chiesto il nome del suo liceo, prevede di utilizzare la posta elettronica più sicura in futuro. E questo potrebbe significare rinunciare al recupero della password. Essere in grado di reimpostare la mia password sul sito è utile se dimentico la mia password, ma fa schifo se qualcun altro riesce a capire come farlo senza il mio permesso, dice.