Perché stai rispondendo alle domande di sicurezza della password sbagliate

Annuncio pubblicitario

Quando ci iscriviamo a un nuovo servizio online, ci viene invariabilmente chiesto di creare una password. Questo protegge immediatamente il nuovo account. Se sei sensibile, scegli una stringa lunga, completamente casuale, oppure lascia che un'app di gestione delle password faccia il lavoro La guida completa per semplificare e proteggere la tua vita con LastPass e XmarksSebbene il cloud significhi che puoi accedere facilmente alle tue informazioni importanti ovunque tu sia, significa anche che hai molte password di cui tenere traccia. Ecco perché è stato creato LastPass. Leggi di più per te. Successivamente nella sequenza arrivano le domande di sicurezza.

Queste domande di solito richiedono il nome da nubile di tua madre, il nome della tua scuola elementare, il nome del tuo primo animale domestico e così via. Progettato per proteggere i nostri account dagli aspiranti hacker, le domande di sicurezza dovrebbero fungere da ulteriore linea di difesa.

Come rispondi a queste domande? Dici la verità, tutta la verità e nient'altro che la verità? Sfortunatamente, la tua veridicità potrebbe creare una crepa inaspettata nella tua armatura online. Diamo un'occhiata esattamente a come

dovrebbero rispondere a queste domande.

Una barriera protettiva

I suggerimenti per le password sono senza dubbio utili. Un suggerimento utile verrà visualizzato se si dimentica la password di Windows. E questo dopo un solo tentativo fallito. Nel caso della password di Windows, il suggerimento dovrebbe aggiornare la memoria. Ti ricorda di usare un suggerimento che hai selezionato, in modo da poter essere criptico o aperto come ti senti.

Le domande di sicurezza sono diverse. Facciamo regolarmente fronte alle combinazioni familiari di domande che ho menzionato sopra e forniamo volentieri risposte accurate. Le domande di sicurezza sono presentate come una linea di difesa aggiuntiva. Tuttavia, dovresti considerare la relativa facilità di ottenere alcune risposte nella società ultra-connessa di oggi.

Ricercatori di sicurezza deridono regolarmente le domande di sicurezza come poco brillanti Come creare una domanda di sicurezza che nessun altro può indovinareNelle ultime settimane ho scritto molto su come rendere recuperabili gli account online. Un'opzione di sicurezza tipica è l'impostazione di una domanda di sicurezza. Mentre questo potenzialmente offre un modo semplice e veloce per ... Leggi di più . Possiamo avere fiducia in una misura di sicurezza le cui risposte possono essere così facilmente scoperte?

Sto sbagliando?

Gli aggressori predano le semplici domande Come individuare ed evitare le 10 tecniche di hacking più insidioseGli hacker stanno diventando più subdoli e molte delle loro tecniche e attacchi spesso passano inosservati anche a utenti esperti. Ecco 10 delle tecniche di hacking più insidiose da evitare. Leggi di più - colori, nomi da nubile, primi animali domestici - perché lo sono facilmente ottenibile tramite account di social media Come proteggersi da questi 8 attacchi di ingegneria socialeQuali tecniche di social engineering userebbe un hacker e come ti proteggeresti da loro? Diamo un'occhiata ad alcuni dei metodi di attacco più comuni. Leggi di più . A peggiorare le cose, se il tuo account utilizza domande e risposte estremamente specifiche, un utente malintenzionato può eliminare altre potenziali password.

Ad esempio, se la domanda di sicurezza era "Dove hai acquistato la tua prima auto?" l'attaccante può ignorare immediatamente altre risposte più facili.

Sono sicuro che hai già modificato l'ovvia soluzione a questo problema di sicurezza. Se l'attaccante è alla ricerca di una risposta direttamente correlata a te, perché non utilizzare qualcosa di completamente diverso?

• Qual è il cognome da nubile di tua madre? fa1c0npunc4
• Dove hai conosciuto il tuo amore? b1cycl3tyr3
• Qual era il nome del tuo primo animale domestico? n0str0d4mu5

Ok, sono esempi terribili, ma tu mi cogli alla deriva. Se la risposta è a) oscura eb) usa caratteri casuali, lo farai immediatamente imposta la barra di sicurezza dei tuoi account un po 'più alta Hai preso questi 5 primi passi per proteggere i tuoi account online?È sorprendente quante persone ignorano queste basi per proteggersi online. Questi cinque siti Web e strumenti rendono la sicurezza online un compito più semplice. Leggi di più .

E questo mi renderà sicuro?

Safer, amico, ma non del tutto sicuro.

Vedi, nel 2015, Google ha pubblicato un documento interessante che esplora le lezioni apprese in merito alle domande di sicurezza. Usando il loro set di dati quasi senza rivali per analizzare le domande segrete poste dalla loro monumentale base di utenti, hanno cercato di capire quanto sia efficace questo ulteriore livello di sicurezza.

La nostra analisi conferma che le domande segrete generalmente offrono un livello di sicurezza molto inferiore rispetto alle password scelte dall'utente. Si scopre che è persino inferiore a quello che indicherebbe la distribuzione reale dei cognomi nella popolazione.

Sorprendentemente, abbiamo scoperto che una causa significativa di questa insicurezza è che gli utenti spesso non rispondono in modo veritiero. Un sondaggio condotto dagli utenti ha rivelato che una parte significativa degli utenti (37%) che ha ammesso di aver fornito risposte false lo ha fatto nel tentativo di renderli "più difficili da indovinare" anche se nel complesso questo comportamento ha avuto l'effetto opposto in quanto le persone "induriscono" le loro risposte in modo prevedibile.

Perché tentiamo di mentire, ma poi lo facciamo così male? Come puoi vedere nel grafico sopra, la maggior parte degli intervistati fornisce risposte false con la convinzione che aumenterà la loro sicurezza. Possiamo quindi supporre che il grande pubblico (anche se una piccola istantanea di un enorme database) capisca che le domande di sicurezza possono e saranno utilizzate contro di esse.

Il team di ricerca di Google alla fine conclude che le domande di sicurezza sono in qualche modo sicure o facili da ricordare, ma la combinazione aurea è rara da trovare. Quindi "mentre Google preferisce il recupero di SMS ed e-mail, nessun meccanismo è perfetto".

Un primo esempio

Purtroppo, Google ha rifiutato di offrire la dimensione reale del database utilizzato per lo studio. Tuttavia, hanno confermato che "i dati considerati contengono centinaia di milioni di punti dati e ciascuno la domanda analizzata ha avuto oltre 1 milione di risposte. " Cifre sostanziali, considerando le loro stime base di utenti.

Nel 2016, United Airlines ha lanciato il suo nuovo schema di sicurezza aggiornato per i suoi conti dei clienti. Il vecchio sistema che si basava su PIN a 4 cifre era giustamente ritenuto non idoneo per account che potenzialmente contenevano centinaia di migliaia di dollari di miglia frequent flyer. Il sistema aggiornato richiede agli utenti di inserire una password univoca e di rispondere a cinque domande di sicurezza personale.

Suona bene, vero? Tranne che la United Airlines chiede ai propri clienti di scegliere una password unica e sicura e di rispondere alle loro domande utilizzando un set di risposte prestabilito. Esatto: risposte preordinate. Ad esempio, se scegli la domanda "In che mese è il compleanno dei tuoi migliori amici", i tuoi aspiranti attaccanti hanno - hai indovinato - solo dodici risposte per combattere. Tempi duri.

La ragione unita per cui "la maggior parte dei problemi di sicurezza che i nostri clienti devono affrontare possono essere ricondotti a virus informatici che registrano la digitazione e l'utilizzo di risposte predefinite protegge da questo tipo di intrusione".

Ricercatore di sicurezza Brian Krebs ha parlato direttamente al direttore dell'intelligence della sicurezza IT della United Airlines Benjamin Vaughn. Vaughn ha dichiarato che la società "sta randomizzando le domande per confondere i programmi bot che cercano di automatizzare l'invio di risposte e la risposta errata alle domande di sicurezza sarebbero "bloccate" e non poste ancora."

"Le domande di sicurezza sono il modo meno sicuro per proteggere qualsiasi cosa." Rik Ferguson @TrendMicro# AISA2016

- Tracey Spicer (@TraceySpicer) 19 ottobre 2016

Inoltre, Vaughn ha confermato a Krebs che molteplici tentativi falliti avrebbero comportato un account bloccato. Di conseguenza, l'utente deve comunicare direttamente con United Airlines per sbloccare il proprio account.

Saggezza convenzionale

United Airlines ha identificato una vulnerabilità di sicurezza, ma la loro risposta non ha risolto del tutto il problema. Come abbiamo visto, l'unico modo veramente sicuro per rispondere a una domanda di sicurezza è, proprio come una password, fornendo qualcosa di veramente unico e casuale. Questo nella speranza che i potenziali hacker siano frustrati dalla complessità e passino all'account successivo.

La scoperta che il grande pubblico soffre della fatica della sicurezza è importante perché ha implicazioni sul posto di lavoro e nella vita quotidiana delle persone. È fondamentale perché così tante persone effettuano operazioni bancarie online e dal momento che l'assistenza sanitaria e altre informazioni preziose vengono trasferite su Internet.

Se le persone non possono usare la sicurezza, non lo faranno, e noi e la nostra nazione non saremo sicuri.

- Psicologo cognitivo e Fatica di sicurezza coautore, Brian Stanton

Purtroppo, la fatica della sicurezza è un problema molto reale. Gli utenti sono sempre più stanchi. Le violazioni della sicurezza e il ripristino forzato delle password sono ora così comuni che molti utenti ignorano semplicemente gli avvisi. Questa fatica porta a comportamenti utente rischiosi sia a casa che sul posto di lavoro. Consigliamo:

• Automatizzare — Assumi il controllo della tua sicurezza e automatizza scansioni, backup Non pagare - Come battere il ransomware!Immagina se qualcuno si presentasse alla tua porta e dicesse: "Ehi, ci sono topi in casa che non sapevi. Dacci $ 100 e ce ne libereremo. "Questo è il Ransomware ... Leggi di più e altro ancora
• Gestione password — Soluzioni di gestione password disponibili in LastPass Padroneggia le tue password per sempre con la sfida della sicurezza di LastpassTrascorriamo così tanto tempo online, con così tanti account, che ricordare le password può essere davvero difficile. Preoccupato per i rischi? Scopri come utilizzare la sfida di sicurezza di LastPass per migliorare la tua igiene della sicurezza. Leggi di più o KeyPass ed entrambi si occupano anche delle tue domande di sicurezza.
• Assumere la proprietà - La tua sicurezza dei dati è sotto la tua responsabilità. Abbiamo grandi aspettative delle istituzioni che detengono i nostri dati, e giustamente. Detto questo, se non imponi forti misure di sicurezza a casa, condividerai parte della colpa.

Noi abbiamo scritto ampiamente sul superamento della fatica della sicurezza 3 modi per superare l'affaticamento della sicurezza e rimanere al sicuro onlineLa fatica della sicurezza - una stanchezza da affrontare con la sicurezza online - è reale e sta rendendo molte persone meno sicure. Ecco tre cose che puoi fare per superare la fatica della sicurezza e proteggerti. Leggi di più . Dagli una lettura e riprendi il controllo delle tue domande di sicurezza!

Come rispondete alle vostre domande di sicurezza? Hai toccato il punto giusto? Oppure usi un'app di gestione password? Facci sapere i tuoi suggerimenti sulla domanda di sicurezza qui sotto!