Google schiet gaten in gebruik van geheime vraag
Het gebruik van alleen een geheime vraag om een vergeten wachtwoord te resetten is onveilig en moet dan ook worden vermeden, zo stelt Google aan de hand van eigen onderzoek (pdf). Veel websites gebruiken nog altijd de geheime vraag als manier voor gebruikers om toegang tot hun account te krijgen als ze de inloggegevens zijn vergeten. Het probleem van de geheime vraag is dat aanvallers kunnen proberen om het antwoord te raden en zo het wachtwoord te resetten.
Zo bleek dat een aanvaller met de geheime vraag van Engelstalige gebruikers "wat is je favoriete maaltijd" 19,7% kans heeft om die in één keer te raden. Het antwoord is "pizza". Met tien pogingen heeft een aanvaller 24% kans om de vraag "wat is de naam van je eerste leraar" bij Arabisch sprekende gebruikers te beantwoorden. Met een zelfde aantal pogingen heeft een aanvaller 21% kans om de vraag van Spaanstalige sprekers, "wat is de middelste naam van je vader", te beantwoorden. In het geval van Koreanen leveren tien pogingen een succesratio van 39% op met de vraag "in welke stad ben je geboren" en 43% met de vraag wat het lievelingseten is.
Verder bleek dat veel gebruikers identieke antwoorden op geheime vragen hadden waarvan wordt aangenomen dat ze juist zeer veilig zijn, zoals "wat is je telefoonnummer" en "wat is je airmilesnummer". In dit geval bleek dat 37% van de mensen opzettelijk verkeerde informatie invult met het idee dat dit het antwoord lastiger te raden maakt. Het onderzoek, waarvoor Google honderden miljoenen geheime vragen en antwoorden analyseerde, laat ook zien dat 40% van de Engelstalige gebruikers het antwoord op de geheime vraag niet meer weet als ze die moeten invullen.
Ongeschikt
Volgens de onderzoekers toont het onderzoek dat de geheime vraag eigenlijk ongeschikt is om wachtwoorden te resetten en zowel websites als gebruikers goed moeten nadenken of ze geheime vragen wel willen gebruiken. Google zegt dat het de geheime vraag niet als een losstaande manier gebruikt om wachtwoorden te resetten. Verder moeten eigenaren van websites andere authenticatiemethodes gebruiken, zoals sms-codes of een tweede e-mailadres. "Dat is zowel veiliger als gebruiksvriendelijker", concludeert Elie Bursztein van Google.
Dit is een van de redenen waarom zoveel hollywood sterren zijn gehacked. Hun antwoorden zijn te vinden op wikipedia, imdb of hun eigen websites.
Als je de vragen nu ook zelf kan bepalen dan is het vinden van het antwoord een stuk moeilijker. Zoals "Welk land zal ik nooit bezoeken?", "Dit eet ik nooit meer" of "Mijn favorite boek is"
Als je de vragen nu ook zelf kan bepalen dan is het vinden van het antwoord een stuk moeilijker. Zoals "Welk land zal ik nooit bezoeken?"...
Als mijn vrouw weer eens voor de zoveelste keer het antwoord vraagt op de geheime vraag
scoor ik 0,002% bij stap1
De overige 99,99,8% volgt bij stap2
Ik weet het echt niet meer wanneer ik je voor het laatst ontrouw ben geweest.
Een 100% false positive uiteraard.
Wat ooit begon als een onschuldig man in the middle attack'je
(2 leuke meiden, te veel drank, ik) op een tupperware feestje.
Dat kleine wormpje uit die fles Mascal werd een virus in me.
Heeft zich genesteld in mijn Mbr en is gegroeid tot een Malware die ik niet meer
uit mijn Os krijg. Shame on me.
Heeft niets met security te maken, maar zie toch wel enige overeenkomsten
50% kans
Dat moet 's Gravenhagen zijn of Den Haag
Antwoord: Niemand weet, niemand weet, dat ik Repelsteeltje heet!
Ik weet het echt niet meer wanneer ik je voor het laatst ontrouw ben geweest.
...
Dat, of het antwoord veranderdt regelmatig ... :D
Een andere oplossing, die je nu natuurlijk niet meer moet gebruiken, is de naam van de site gebruiken.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security Analist SOC
AIVD
Als security analist werk je mee om de relevante logging- en dreigingsinformatie binnen het SOC beschikbaar te maken. Ben je net afgestudeerd en wil je je verder ont-wikkelen op het gebied van cyber security? Wil jij aan de hand van cyber threat intelligence op jacht naar de meest ge-avanceerde aanvallers? Dan is ons Security Operations Center de plek voor jou!
Senior Security Analist SOC
AIVD
Als senior security analist SOC analyseer je de security monitoring data die we op ons platform verzamelen en ontwikkel je detectie use-cases die wijzen op verdacht gedrag op onze netwerken en systemen. Heb je veel netwerk, sysadmin of software development-ervaring, met een wens je richting security te ontwikkelen? Dan is ons Security Operations Center de plek voor jou!
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.