Nieuw systeem gebruikt dagelijkse activiteiten als wachtwoord
Onderzoekers uit India en de Verenigde Staten hebben een nieuw systeem bedacht waarbij iemands dagelijkse activiteiten als wachtwoorden kunnen worden gebruikt. Het systeem heet ActivPass (pdf) en haalt wachtwoorden uit dagelijks activiteitenlogs, zoals iemands Facebook- of smartphoneactiviteiten. Zo kan bij het inloggen een gebruikers bijvoorbeeld worden gevraagd van wie hij die ochtend een sms-bericht ontving.
Dit soort "wachtwoorden" zijn volgens de onderzoekers goed te onthouden, maar lastig voor een aanvaller om te raden. Tijdens een experiment met 70 vrijwilligers werden er activiteitsoverzichten van Facebook, iemands surfgeschiedenis, gespreksgeschiedenis en sms-berichten gebruikt. Daarbij haalde het systeem een succespercentage van 95%, waarbij legitieme gebruikers inlogden. In 5,5% van de gevallen wist een aanvaller op het systeem in te loggen.
De onderzoekers merken op dat dit beveiligingsniveau niet geschikt is voor belangrijke authenticatiesystemen, maar het wel kan helpen om bepaald wachtwoordgedrag, zoals het delen van wachtwoorden, te voorkomen. Gebruikers zouden namelijk niet continu hun dagelijkse activiteiten met anderen willen delen. Op dit moment zijn de onderzoekers in overleg met bedrijven als Intel en Yahoo om te kijken hoe het systeem voor bedrijven kan worden aangepast en wat er verder aan verbeterd moet worden, zo meldt MIT Technology Review.
en
Hoezo tegenstrijdig.
Klinkt toch ergens als een gevalletje imperfect idee.
* En hoe minder het dat heeft, hoe navenant minder een aanvaller dat ook hoeft, en dus met een imperfecte informatiestroom toe kan om alsnog zich als zijn beoogde slachtoffer voor te doen.
Een aanvaller die zijn slachtoffer observeert zou het wachtwoord kunnen raden.
Hoezo is het lastig te raden van wie iemand een sms ontvangen heeft? Iemands contactpersonen achterhalen en diens telefoonnummers lijkt me niet zo moeilijk, gezien men tegenwoordig alles op internet kwakt. De kans is groot dat aanvallers de juiste contactpersoon te pakken hebben.
En wie maakt er een wachtwoord van een item in je activiteitenlog? Een app of zo? En andere apps die daar toegang toe hebben? Lijkt me niet zo veilig.
Ik gebruik de smartphone enkel om te bellen / sms'en en ook alleen als dat echt noodzakelijk is (dat is dus bijlange na niet dagelijks). Daarnaast zit ik niet op Facebook of andere sociale media. Ik heb dus geen idee waar 'het nieuwe systeem' een wachtwoord van wil maken.
Ik gebruik de smartphone enkel om te bellen / sms'en [...]
Ik ken zo'n slecht percentage alleen maar van systemen zonder wachtwoord of met een default wachtwoord.
Om nog maar niet te spreken van dat een legitieme gebruiker 1 op de 20 keer niet binnen komt.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
