欢迎光临
我们一直在努力
"

你的密码保护问题真的安全吗?

14324748947507

安全研究人员Elie Bursztein和Ilan Caron对Google用户使用的数以百万计的密码保护问题及答案进行了数据分析,研究结果表明,密码保护这种“忘记密码”后最基本的验证方式存在诸多安全隐患。

你的密保问题安全吗?

这些看似随机的问题有什么共同点?他们都是典型的“密保问题/安全问题”。你很可能回答过这种密保问题——很多在线服务用这些问题帮助用户在忘记密码的情况下进入账号,或者用作防止异地登录的额外安全保护。

尽管密保问题非常普及,他们的安全性和效率很少被深入研究过。我们对Google用户们使用的数以百万计的安全问题和答案进行了分析,然后计算黑客猜解这些问题答案的可能性。

最终我们得出的结论是——密保问题既不安全也不可靠,它不能够被单独当做“忘记密码”的恢复机制。因为所有的密保问题都有一个基本缺陷:问题的答案要么安全但很难记忆,要么容易记忆但并不安全。

14324675361146

易被猜解的密保问题

密码保护答案通常都会包含大家都知道的某些信息,或者由于文化的原因,答案被局限在某个小范围里面——比如某些国家中,有些姓比较常见。

我们的一些具体发现:

 

而如果将密保设为“你的手机号码是什么?”这类相对私密的问题呢?

我们研究表明,37%的用户会故意为该问题设置为一个假的答案,并自作聪明地以为这会使得问题更难猜。事实上这种做法适得其反,因为很多人会想到一块去并使用相同的“假答案”,这反而增加了攻击者猜解正确的可能性。

问题安全了,但答案记不住了

“你母亲在哪读小学?”“你的图书馆卡号是多少?”这类密保问题的答案总归安全了吧?是的,但是这种问题的答案也更加难以记忆。

调查显示,40%美国用户回想不起他们的安全问题答案,上述两个问题,用户想起正确答案的概率仅为22%和9%。

用户对于相对简单的问题“你父亲的中间名?”记起答案的概率为76%,而“你的第一个手机号码?”则只有55%。

14324749497241

为什么不增加安全问题呢?

相比一个密保问题,两个或更多的密保问题猜解难度当然更大。但是代价就是用户成功恢复账号的概率大幅下降。

根据我们的数据,最简单的问题是“你出生的城市?”,用户有超过79%的概率回忆起答案;第二简单的是“你父亲的中间名?”,概率为74%。如果攻击者有十次猜测机会,他们6.9%和14.6%的可能性能够猜到问题的正确答案。

然而当用户需要同时回答这两个问题的时候,攻击者十次猜测,同时猜中两个答案的概率仅为1%,而用户同时回答对两个问题的概率也降至59%。

密保问题该淘汰了

密保问题是目前“忘记密码”的基本方式。但是根据本文的分析,你会发现这种方式的用户体验真的令人失望。

研究人员还是建议产品尽可能使用其他验证方式而不是密保问题,例如发送验证码到用户的手机或者备用email地址。这些是更安全,用户体验更好的方法。

*参考来源Google Online Security Blog,译/Sphinx,文章有修改,转载请注明来自Freebuf黑客与极客(FreeBuf.COM)

转载请注明: 转载自Legend‘s BLog

本文链接地址: 你的密码保护问题真的安全吗?



未经允许不得转载:Legend‘s BLog » 你的密码保护问题真的安全吗?

分享到:更多 ()

发表评论

电子邮件地址不会被公开。 必填项已用*标注

This site uses Akismet to reduce spam. Learn how your comment data is processed.

无觅相关文章插件,快速提升流量