Le domande di sicurezza sono una cattiva idea, ecco perché

Da quando abbiamo password e account, ci sono sempre stati hacker che cercano di metterci le mani sopra. Più importante, le persone hanno anche dimenticato le loro password. Per recuperarle, il fornitore dell’account spesso implementa una serie di domande a cui fornisci le tue “risposte segrete”. Questo sistema ha funzionato bene per molti anni, ma è pieno di modi per facilitare il lavoro degli hacker. Anche se le risposte sono segrete, sembra che tu stia effettivamente sacrificando la tua sicurezza nella speranza che un giorno questo sacrificio ti aiuti a recuperare la tua password.

Cosa rende orribili le domande di sicurezza

Il 21 maggio 2015, Google ha pubblicato alcune ricerche riguardo all’intero schema delle domande di sicurezza. Apparentemente, “qual è stato il nome del tuo primo animale domestico?” può essere il singolo anello più debole nella tua sicurezza, e può portare il tuo account agli hacker su un piatto d’argento. Mentre puoi creare password impossibili da indovinare, le domande di sicurezza per il recupero sono progettate in modo tale che dovresti essere in grado di rispondere facilmente. Questo funziona bene quando usi risposte oscure che nessun altro può indovinare, ma orribilmente se il tuo animale domestico (per esempio) ha un nome molto comune come “Max” o “Spot”. Se hai chiamato il tuo cane “Ulisse” o “Peruggia”, allora potresti avere una possibilità, sebbene non così promettente.

Puoi anche scegliere l’opzione B, che è mentire sulla risposta alla tua domanda (cioè rispondere “Offram Klingmanstein III” quando ti viene chiesto qual era il cognome da nubile di tua madre). Il problema con questo è che ti ritrovi con un’altra cosa da ricordare. Ricordare le risposte su cui hai mentito è altrettanto difficile quanto ricordare la password che hai dimenticato in primo luogo. Questa non è una soluzione ma un onere aggiunto.

Cosa dovrebbe sostituire queste domande?

Oltre ai problemi di sicurezza che le domande introducono, aggiungono solo confusione per coloro che non riescono a ricordare la città in cui sono nati o i nomi del loro primo animale domestico (può succedere). Le persone che ti conoscono bene possono anche accedere facilmente ai tuoi account con questo metodo. Speriamo di essere giunti alla conclusione che qualcosa deve sostituire il metodo della “risposta segreta”. Fortunatamente, ci sono molti buoni contendenti per sostituzioni, uno dei migliori è l’autenticazione a due fattori.

Il metodo della “risposta segreta” è stato inventato prima che le persone avessero comunemente telefoni cellulari in grado di aprire messaggi SMS. A questo punto della storia, praticamente tutti coloro che hanno accesso a Internet hanno un telefono cellulare. Su 7 miliardi di persone, ci sono circa 6,8 miliardi di telefoni. Google ha adottato un nuovo metodo per l’autenticazione che prevede l’invio di una password monouso tramite SMS per il recupero. Per coloro che non hanno telefoni, potrebbero utilizzare un’email di backup di una persona fidata o una che usano loro stessi per il recupero. Questo metodo rende molto difficile “indovinare” l’accesso a un account senza il telefono dell’utente.

Utilizzando l’autenticazione a due fattori, risolvi due cose contemporaneamente:

• Minimizza il rischio che una persona non ricordi la propria “risposta” poiché il codice SMS unico viene fornito all’utente su richiesta, e
• Crei un metodo di recupero che è quasi infrangibile poiché l’hacker avrebbe bisogno di avere accesso a un oggetto fisico di cui l’utente è proprietario.

Puoi pensare a qualcos’altro per sostituire il metodo della risposta segreta? Lascia i tuoi pensieri in un commento qui sotto!