Pourquoi le nom de jeune fille de la mère est-il toujours utilisé comme question de sécurité?
De temps en temps, certains sites Web demandent à saisir une question de sécurité et une réponse. La liste de questions est standard et comprend généralement "Quel est le nom de jeune fille de votre mère?".
Certaines personnes utilisent le vrai nom de jeune fille de leur mère afin d'être sûres de se souvenir de ce qu'elles doivent fournir lorsque cela leur est demandé (par exemple dans le cadre du processus de récupération du compte). Cela signifie que ces informations sont fixées pour une très longue période de temps. S'il arrive qu'une application Web soit piratée et qu'une telle réponse soit associée à une adresse e-mail (ou pire, à des informations personnellement identifiables), elle peut potentiellement créer une vulnérabilité pour d'autres applications Web.
En outre, le nom de jeune fille de la mère peut être partagé dans l'espace public.
En supposant les problèmes ci-dessus avec cette question de sécurité (ou toute autre question de sécurité qui repose sur une constante dans la vie):
Pourquoi le nom de jeune fille de la mère est-il toujours utilisé comme question de sécurité?
Parce que les gens sont paresseux et/ou incompétents. Et bien, vous savez, Internet regorge de chimpanzés .
Je dirais que toutes les questions de sécurité sont mauvaises, mais l'utilisation du nom de jeune fille de la mère est exceptionnellement mauvaise:
- Au moins en Suède, je peux trouver le nom de jeune fille de n'importe qui simplement avec un simple appel au bureau des impôts. Il s'agit littéralement d'informations publiques.
- Nous sommes en 2018, et il est assez courant pour les couples d'adopter le nom de la mariée lors du mariage. Le nom de jeune fille de votre mère est alors votre nom de famille. Génial.
Luis Casillas ajoute à juste titre:
Il y a des dizaines de pays, avec des milliards d'habitants entre eux, où les femmes ne changent pas de nom légal lorsqu'elles se marient. Les États-Unis en particulier ont d'énormes minorités d'immigrants de personnes de ces pays.
Sérieusement, il n'y a aucune excuse à cela. C'est juste mauvais.
Les "questions de sécurité" peuvent être la seule solution à un problème difficile. Vous avez un client, il a perdu son mot de passe (et son accès au courrier électronique) et vous aimeriez tous les deux le récupérer.
Il peut ne pas être proportionné de les faire effectuer une vérification en personne dans vos bureaux ou chez un notaire, ce qui serait vraiment la seule solution totalement sécurisée (en comparant l'identifiant gouvernemental sécurisé à leur apparence/biométrie).
Je pense que les banques (tout comme par exemple) qui utilisent ce type de vérification ont de très bonnes statistiques sur la prévalence de chaque type de fraude et connaîtront les risques et les avantages (par exemple, disons que ma banque doit m'identifier lorsque je voyage à l'étranger, elles peuvent 'et ils me perdent un client avec des dizaines de milliers de bénéfices à vie - par rapport à ce qu'ils autorisent l'utilisation frauduleuse d'une carte et perdent directement des dizaines de milliers - mais ils savent que seulement 5% des transactions marquées sont réellement frauduleuses).
Léthargie et/ou inertie
Plus sérieusement, les institutions se sont appuyées sur le fait que ces informations étaient essentiellement secrètes pendant quelques décennies. L'âge des violations massives de données publiées est très récent.
La plupart des organisations sont lentes à réagir au changement.
Aussi simple que
Fausses hypothèses.
Les questions de sécurité, tout comme les exigences de mot de passe "complexes", sont enracinées dans ce qu'on appelle les meilleures pratiques, mais ce n'est pas le cas. Comme une tradition orale, nombre de ces pratiques sont transmises d'une personne à l'autre et rarement remises en question (chaque fois qu'elles sont interrogées, il s'avère souvent qu'elles sont fausses).
Les questions de sécurité font partie de ces choses. Quelqu'un a eu une idée raisonnable, et très vite une liste assez standard de ces questions a évolué, et depuis lors, tout le monde a copié à partir de là, sans remettre en question.
Alors oui, vous avez raison, cette question et presque toutes les autres "questions de sécurité" sont un danger et généralement beaucoup, beaucoup plus facile à comprendre que même un mot de passe faible (par exemple, tout ce qui n'est pas dans la liste des 20 premiers).
L'utilisabilité plutôt que la sécurité, malheureusement
Les banques veulent être sécurisées, mais font face à une clientèle pour laquelle la convivialité est obligatoire.
Cette clientèle n'est pas composée de nos pairs. Cela inclut ceux qui craignent "la gub'mint", les personnes âgées qui ne comprennent pas le changement et n'y résistent pas, les handicapés mentaux qui ont mis des années à apprendre ce système et qui ne peuvent tout simplement pas traiter un autre programme, sans parler de les membres du personnel par exemple quelqu'un agissant avec procuration pour une succession ou une personne handicapée. Quel que soit le système que vous imaginez, il doit être accessible à toutes ces personnes, sauf si vous souhaitez avoir des niveaux d'accès. Nous sommes coincés avec le plus petit dénominateur commun, ou convoyons à la vitesse du navire le plus lent.
L'argent plutôt que la sécurité: transfert de responsabilité
Le système bancaire repose sur trust bien plus que quiconque ne voudrait l'admettre. La fraude est contenue par un personnel de sécurité très actif, qui n'a pas à dépasser l'ours . Si la sécurité bancaire est juste suffisamment bonne pour que les attaquants choisissent un moyen plus simple de gagner de l'argent, la banque gagne. Ce criminel qui aurait attaqué la banque, menace plutôt d'être un agent de l'IRS et oblige un retraité à volontairement Western Union à épargner. Ce retraité ne peut pas revenir à la banque et réclamer son argent, donc la banque est en clair.
Ce type de "transfert de responsabilité" est un élément important de la stratégie bancaire. Tout ce qu'ils feront va éloigner la responsabilité de la banque. Ils sont dissuadés d'installer un système plus solide qui, en cas d'échec, engendre plus de responsabilité pour la banque.
Les "questions de sécurité" en général sont une idée incroyablement stupide.
Chaque fois que vous créez un mot de passe, il est conseillé de ne pas utiliser d'informations personnelles pour un mot de passe, comme l'endroit où vous êtes allé au lycée ou votre couleur préférée ou la voiture que vous conduisez, car un pirate essaie de pénétrer dans votre compte pourrait être en mesure de découvrir ou de deviner ces choses. Au lieu de cela, vous devez utiliser une chaîne de lettres et de chiffres sans signification, qui devrait être impossible à deviner.
Mais ... nous comprenons que les chaînes de lettres et de chiffres sans signification sont difficiles à retenir. Créons donc des questions de sécurité, qui fonctionnent efficacement comme mots de passe alternatifs, et pour celles-ci, nous utiliserons quelque chose de facile à retenir, comme l'endroit où vous êtes allé au lycée ou votre couleur préférée ou la voiture que vous conduisez. Parce que même si un pirate pourrait essayer de deviner ce type d'informations personnelles pour un mot de passe, il ne viendrait jamais à un million d'années à un pirate d'essayer de deviner la réponse à une question de sécurité.
Au moins, si vous avez utilisé des informations personnelles pour un mot de passe, le pirate ne saurait pas si vous avez utilisé votre lycée, votre couleur préférée ou une marque de voiture. Mais avec des questions de sécurité, nous lui disons ce que c'est.
Si quelqu'un vous connaît, de nombreuses questions de sécurité seraient faciles à trouver ou à deviner. Peut-être que vous avez déménagé ici d'une autre ville, mais il y a de fortes chances que vous ayez grandi là où vous vivez maintenant, donc deviner que les lycées de la région auraient une bonne chance de réussir. Il pourrait savoir quel modèle de voiture vous conduisez. Sinon, il n'y a pas tant de voitures différentes. Si vous demandez aux gens leur couleur préférée, la plupart des gens en nommeront une parmi la douzaine. (Eh bien, la plupart des hommes, de toute façon. Les femmes ont tendance à connaître les noms de beaucoup plus de couleurs que les hommes.)
Un système sur lequel je viens de créer un compte a récemment limité leurs questions de sécurité à des choses avec un nombre assez restreint de possibilités, puis fourni des listes déroulantes pour chacune d'entre elles! Alors, dites au pirate, voici les 20 mots de passe possibles à partir desquels quelqu'un a été autorisé à choisir! J'ai vu des systèmes qui me font choisir un mot de passe d'au moins 8 caractères parce que si je tape juste 6 ou 7, ce ne sont que quelques milliards de possibilités, et un pirate pourrait l'obtenir avec une attaque par force brute. Mais alors, ayons un autre mot de passe où nous énumérons utilement les 20 choix. Cela évite au pirate d'avoir à se soucier d'être déclenché par la capitalisation ou l'orthographe.
La réponse est la même que: pourquoi avons-nous de simples verrous dans la vie réelle, qui sont si faciles à crocheter ou à casser?.
Il est toujours bon de laisser l'utilisateur sélectionner son niveau de sécurité.
Je parie que le mot de passe pour lancer des bombes nucléaires n'a pas pu être récupéré par le nom de jeune fille de la mère. Mais l'utilisateur type a 2-3, peut-être 10 comptes vraiment importants. Et des centaines d'autres comptes. Par exemple. compte dans la boutique en ligne électronique. Je ne me soucie pas vraiment si quelqu'un va le pirater et saura ce que j'ai acheté en 2011. Je me fiche du compte sur un forum de bricolage où j'ai demandé un couple de conseils.
Pour beaucoup de ces comptes, les gens ont besoin de "simples verrous". Mots de passe simples (comme '123456'), pas besoin de les changer souvent et moyen facile de les récupérer. Convivialité plutôt que sécurité. Et ce n'est pas "malheureusement", c'est comme ça que ça doit être, si l'utilisateur veut plus de convivialité que de sécurité.
Le but de la question de sécurité est la validité à long terme. Vous devez vous en souvenir lorsque vous avez oublié/perdu le mot de passe. C'est pourquoi une information inhérente que vous ne pouvez pas facilement perdre convient bien. Cela signifie que la première hypothèse de la question ne correspond pas.
En ce qui concerne la deuxième partie qu'elle pourrait obtenir ou être déjà connue du public: a) De telles questions de sécurité sont généralement (si elles sont correctement posées) une option, vous n'en avez pas nécessairement besoin - et vous pouvez en choisir une parmi plusieurs. Il appartient à l'utilisateur de décider dans quelle mesure chacun est connu du public dans son contexte (en particulier, si un attaquant connaît probablement son nom normal au stade où il faut répondre à la question de sécurité).
b) correctement implémentée, la question de sécurité ne devrait être qu'une partie d'une authentification multidirectionnelle, car elle est toujours plus facile à briser qu'un mot de passe, une autre peut être l'accès à l'adresse e-mail que vous avez utilisée pour enregistrer un compte avec.
Ainsi, sur le spectre allant de la commodité à la sécurisation de la première question peut être plus pratique pour les utilisateurs, ce n'est pas nécessairement toujours un mauvais choix. Mon film préféré, le nom de mon animal de compagnie, etc. ne sont pas tous les secrets les plus forts.
Quant à b) Paypal utilise cette approche pour utiliser une approche d'authentification multidirectionnelle lorsque vous essayez de réinitialiser votre mot de passe. Dans leur processus, vous devez fournir des réponses à plusieurs questions de sécurité de ce type. De plus, vous devez avoir accès à votre adresse e-mail. Vous pouvez également choisir d'appeler un numéro de téléphone enregistré et d'utiliser le code que vous obtenez comme deuxième méthode d'authentification. Cela fait partie d'un mélange de mesures - l'objectif étant de fournir un compromis entre commodité et sécurité.