Ponieważ ludzie są leniwi i / lub niekompetentni. No i wiesz, Internet jest pełen szympansów.

Twierdziłbym, że wszystkie pytania bezpieczeństwa są złe, ale używanie nazwiska panieńskiego matki jest wyjątkowo złe:

• Przynajmniej w Szwecji mogę znaleźć czyjeś nazwisko panieńskie po prostu dzwoniąc do urzędu skarbowego. To dosłownie informacja publiczna.
• Jest 2018 rok i dość często pary przyjmują imię panny młodej podczas ślubu. Nazwisko panieńskie matki to wtedy Twoje nazwisko. Świetnie.

• Luis Casillas słusznie dodaje:

  Istnieją dziesiątki krajów z miliardami mieszkańców, w których kobiety nie nie zmieniają swojego imienia i nazwiska po ślubie. Szczególnie w Stanach Zjednoczonych mieszkają olbrzymie mniejszości imigranckie z takich krajów.

Poważnie, nie ma na to wymówek. Jest po prostu źle.

„Pytania zabezpieczające” mogą być jedynym rozwiązaniem trudnego problemu. Masz klienta, który stracił swoje hasło (i dostęp do poczty e-mail) i oboje chcielibyście go odzyskać.

Może nie być proporcjonalne zlecanie im osobistej weryfikacji w Twoim biurze lub u notariusza, co byłoby naprawdę jedynym całkowicie bezpiecznym rozwiązaniem (dopasowanie bezpiecznego dokumentu tożsamości do ich wyglądu / danych biometrycznych).

Myślę, że banki (na przykład), które używają tego rodzaju weryfikacji, mają całkiem dobre statystyki dotyczące rozpowszechnienia każdego rodzaju oszustw i będą znać ryzyko i korzyści (np. powiedzmy, że mój bank musi mnie zidentyfikować, kiedy podróżując za granicę, nie mogą i tracą mnie klienta wraz z dziesiątkami tysięcy dożywotniego zysku - w przeciwieństwie do pozwalają na oszukańcze użycie karty i tracą dziesiątki tysięcy bezpośrednio - ale wiedzą, że tylko 5% oflagowanych transakcji jest w rzeczywistości oszukańczych) .

Letarg i / lub inercja

Instytucje poważniej polegały na tym, że te informacje były zasadniczo tajne przez kilka dekad. Epoka masowo publikowanych naruszeń danych jest bardzo niedawna.

Większość organizacji powoli reaguje na zmiany.

Proste jak

Fałszywe założenia.

Pytania bezpieczeństwa, podobnie jak „złożone” wymagania dotyczące hasła, są zakorzenione w tak zwanej najlepszej praktyce, ale w rzeczywistości nią nie jest. Podobnie jak w tradycji ustnej, wiele z tych praktyk jest przekazywanych od jednej osoby do ochrony do drugiej i rzadko jest kwestionowana (kiedy są przesłuchiwani, często okazuje się, że są fałszywe).

Pytania bezpieczeństwa są jednym z te rzeczy. Ktoś wpadł na rozsądny pomysł i bardzo szybko powstała dość standardowa lista takich pytań i od tego czasu wszyscy w zasadzie kopiowali stamtąd, bez kwestionowania.

Więc tak, masz rację, to i prawie każde inne „pytanie ochronne” jest niebezpieczne i zazwyczaj jest dużo, dużo łatwiejsze do odgadnięcia niż nawet słabe hasło (np. wszystko, co nie znajduje się na liście 20 najpopularniejszych).

Niestety użyteczność ponad bezpieczeństwo

Banki chcą być bezpieczne, ale mają do czynienia z klientami, których użyteczność jest obowiązkowa .

Ta klientela nie składa się z naszych rówieśników. Są wśród nich tacy, którzy boją się „gub'mint”, seniorzy, którzy nie rozumieją zmian i się im opierają, niepełnosprawni umysłowo, którym zajęło lata nauka tego systemu i po prostu nie potrafią przetworzyć innego schematu, nie wspominając o pracownikach np osoba działająca na podstawie pełnomocnictwa dla spadku lub osoby niepełnosprawnej. Każdy system, który stworzysz, musi być dostępny dla wszystkich tych osób, chyba że chcesz mieć poziomy dostępu. Utknęliśmy z najniższym wspólnym mianownikiem lub konwojowaliśmy z prędkością najwolniejszego statku.

Pieniądze ważniejsze niż bezpieczeństwo: przesunięcie odpowiedzialności

System bankowy jest zbudowany na zaufaniu o wiele bardziej niż ktokolwiek chciałby przyznać. Oszustwo jest powstrzymywane przez bardzo aktywny personel ochrony, który nie musi wyprzedzać niedźwiedzia . Jeśli zabezpieczenia bankowe są tylko na tyle dobre, że atakujący przestawiają się na łatwiejsze sposoby zarabiania pieniędzy, bank wygrywa. Ten kryminalista, który zaatakowałby bank, zamiast tego grozi, że zostanie agentem urzędu skarbowego i dostaje emeryturę, która dobrowolnie przejmuje Western Union ich życiowe oszczędności. Ten emeryt nie może wrócić do banku i zażądać zwrotu pieniędzy, więc bank nie ma sprawy.

Ten rodzaj „przesunięcia zobowiązań” to ogromna część strategii banku. Wszystko, co zrobią, zdejmie odpowiedzialność z banku. Mają zniechęcenie do instalowania silniejszego systemu, który w przypadku niepowodzenia stwarza większą odpowiedzialność dla banku.

Ogólnie „pytania bezpieczeństwa” to niesamowicie głupi pomysł.

Za każdym razem, gdy tworzysz hasło, rutynową radą jest mówienie, że nie powinieneś używać danych osobowych jako hasła, na przykład miejsca odwiedzenia liceum lub ulubionego koloru lub marki samochodu, którym jeździsz, ponieważ haker próbujący włamać się na Twoje konto może być w stanie wykryć lub odgadnąć te rzeczy. Zamiast tego powinieneś użyć nic nie znaczącego ciągu liter i cyfr, którego nikt nie powinien odgadnąć.

Ale ... rozumiemy, że bezsensowne ciągi liter i cyfr są trudne do zapamiętania. Stwórzmy więc pytania zabezpieczające, które skutecznie działają jako alternatywne hasła, a do nich użyjemy czegoś łatwego do zapamiętania, na przykład miejsca, w którym chodziłeś do szkoły średniej, swojego ulubionego koloru lub marki samochodu, którym jeździsz. Ponieważ podczas gdy haker może próbować odgadnąć tego rodzaju dane osobowe jako hasło, nigdy za milion lat nie przyszłoby mu do głowy, aby spróbować odgadnąć odpowiedź na pytanie zabezpieczające.

Przynajmniej jeśli użył pewnych danych osobowych jako hasła, haker nie wiedziałby, czy użyłeś swojej szkoły średniej, ulubionego koloru lub marki samochodu. Ale pytaniami zabezpieczającymi POWIEDZIMY mu, które to jest.

Jeśli ktoś Cię zna, wiele pytań zabezpieczających można łatwo znaleźć lub zgadnąć. Może przeprowadziłeś się tutaj z innego miasta, ale istnieje spora szansa, że ​​dorastałeś tam, gdzie teraz mieszkasz, więc przypuszczenie, że szkoły średnie w okolicy miałyby spore szanse na zdobycie hitu. Może wiedzieć, jakim modelem jeździsz. Jeśli nie, nie ma wielu różnych marek samochodów. Jeśli zapytasz ludzi o ich ulubiony kolor, większość ludzi wymieni jeden z kilkunastu. (Cóż, w każdym razie większość mężczyzn. Kobiety znają nazwy znacznie więcej kolorów niż mężczyźni).

W jednym systemie, na którym właśnie utworzyłem konto, ostatnio ograniczyłem swoje pytania bezpieczeństwa do rzeczy o dość małej liczbie możliwości, a następnie udostępniłem listę rozwijaną dla każdego z nich! Powiedz więc hakerowi, oto 20 możliwych haseł, z których ktoś mógł wybierać! Widziałem systemy, które zmuszają mnie do wybierania hasła składającego się z co najmniej 8 znaków, ponieważ jeśli wpiszę tylko 6 lub 7, to tylko kilka miliardów możliwości, a haker może je zdobyć za pomocą ataku brutalnej siły. Ale potem miejmy alternatywne hasło, w którym pomocnie wymienimy 20 opcji. Dzięki temu haker nie musi martwić się, że potknie się dużymi literami lub błędną pisownią.

Odpowiedź jest taka sama: dlaczego w prawdziwym życiu mamy proste zamki, które tak łatwo jest wyłamać lub złamać.

Zawsze dobrze jest pozwolić użytkownikowi wybrać jego poziom bezpieczeństwa .

Założę się, że hasła do odpalenia bomb atomowych nie można było odzyskać z nazwiska panieńskiego matki. Ale typowy użytkownik ma 2-3, może 10 naprawdę ważnych kont. I setki innych kont. Na przykład. konto w elektronicznym sklepie internetowym. Nie obchodzi mnie, czy ktoś go zhakuje i będzie wiedział, co kupiłem w 2011 roku. Nie obchodzi mnie konto na jednym forum dla majsterkowiczów, na którym kiedyś poprosiłem o kilka rad.

Do wielu takich kont ludzie potrzebują „proste zamki”. Proste hasła (takie jak „123456”), brak konieczności częstej zmiany i łatwy sposób na ich odzyskanie. Użyteczność ponad bezpieczeństwo. I to nie jest „niestety”, tak musi być, jeśli użytkownik chce bardziej użyteczności niż bezpieczeństwa.

Celem pytania zabezpieczającego jest długoterminowa ważność. Musisz o tym pamiętać, gdy zapomnisz / zgubisz hasło. Dlatego nieodłączna informacja, której nie można łatwo zgubić, pasuje dobrze. Oznacza to, że pierwsze założenie pytania nie pasuje.

Jeśli chodzi o drugą część, która może być lub już jest znana publicznie: a) Takie pytania bezpieczeństwa są zazwyczaj (jeśli są poprawnie wykonane) opcją, niekoniecznie ich potrzebujesz - możesz wybrać jedną z wielu. To użytkownik decyduje, jak dobrze każdy z nich jest znany publicznie w jego kontekście (w szczególności czy osoba atakująca prawdopodobnie zna jej normalne imię i nazwisko na etapie, na którym należy odpowiedzieć na pytanie zabezpieczające).
b) prawidłowo zaimplementowane, pytanie zabezpieczające powinno być tylko jedną częścią w uwierzytelnianiu wielostronnym, ponieważ zawsze są one łatwiejsze do złamania niż hasło, innym może być dostęp do adresu e-mail, którego użyłeś do rejestracji konta.

Tak więc, jeśli chodzi o spektrum, od wygody do zabezpieczenia dziewicy, może być bardziej wygodna dla użytkowników, niekoniecznie zawsze jest to zły wybór. Mój ulubiony film, imię mojego zwierzaka itp. Nie są najsilniejszymi tajemnicami.

Jeśli chodzi o b) Paypal używa tego podejścia, aby użyć metody uwierzytelniania wielostronnego, gdy próbujesz zresetować hasło. W ich procesie musisz udzielić odpowiedzi na wiele tego rodzaju pytań zabezpieczających. Ponadto musisz mieć dostęp do swojego adresu e-mail. Alternatywnie możesz odebrać połączenie na zarejestrowany numer telefonu i użyć otrzymanego kodu jako drugiej metody uwierzytelniania. Jest częścią kombinacji środków - celem jest zapewnienie kompromisu wygody i bezpieczeństwa.