Google schiet gaten in gebruik van geheime vraag
Het gebruik van alleen een geheime vraag om een vergeten wachtwoord te resetten is onveilig en moet dan ook worden vermeden, zo stelt Google aan de hand van eigen onderzoek (pdf). Veel websites gebruiken nog altijd de geheime vraag als manier voor gebruikers om toegang tot hun account te krijgen als ze de inloggegevens zijn vergeten. Het probleem van de geheime vraag is dat aanvallers kunnen proberen om het antwoord te raden en zo het wachtwoord te resetten.
Zo bleek dat een aanvaller met de geheime vraag van Engelstalige gebruikers "wat is je favoriete maaltijd" 19,7% kans heeft om die in één keer te raden. Het antwoord is "pizza". Met tien pogingen heeft een aanvaller 24% kans om de vraag "wat is de naam van je eerste leraar" bij Arabisch sprekende gebruikers te beantwoorden. Met een zelfde aantal pogingen heeft een aanvaller 21% kans om de vraag van Spaanstalige sprekers, "wat is de middelste naam van je vader", te beantwoorden. In het geval van Koreanen leveren tien pogingen een succesratio van 39% op met de vraag "in welke stad ben je geboren" en 43% met de vraag wat het lievelingseten is.
Verder bleek dat veel gebruikers identieke antwoorden op geheime vragen hadden waarvan wordt aangenomen dat ze juist zeer veilig zijn, zoals "wat is je telefoonnummer" en "wat is je airmilesnummer". In dit geval bleek dat 37% van de mensen opzettelijk verkeerde informatie invult met het idee dat dit het antwoord lastiger te raden maakt. Het onderzoek, waarvoor Google honderden miljoenen geheime vragen en antwoorden analyseerde, laat ook zien dat 40% van de Engelstalige gebruikers het antwoord op de geheime vraag niet meer weet als ze die moeten invullen.
Ongeschikt
Volgens de onderzoekers toont het onderzoek dat de geheime vraag eigenlijk ongeschikt is om wachtwoorden te resetten en zowel websites als gebruikers goed moeten nadenken of ze geheime vragen wel willen gebruiken. Google zegt dat het de geheime vraag niet als een losstaande manier gebruikt om wachtwoorden te resetten. Verder moeten eigenaren van websites andere authenticatiemethodes gebruiken, zoals sms-codes of een tweede e-mailadres. "Dat is zowel veiliger als gebruiksvriendelijker", concludeert Elie Bursztein van Google.
Dit is een van de redenen waarom zoveel hollywood sterren zijn gehacked. Hun antwoorden zijn te vinden op wikipedia, imdb of hun eigen websites.
Als je de vragen nu ook zelf kan bepalen dan is het vinden van het antwoord een stuk moeilijker. Zoals "Welk land zal ik nooit bezoeken?", "Dit eet ik nooit meer" of "Mijn favorite boek is"
Als je de vragen nu ook zelf kan bepalen dan is het vinden van het antwoord een stuk moeilijker. Zoals "Welk land zal ik nooit bezoeken?"...
Als mijn vrouw weer eens voor de zoveelste keer het antwoord vraagt op de geheime vraag
scoor ik 0,002% bij stap1
De overige 99,99,8% volgt bij stap2
Ik weet het echt niet meer wanneer ik je voor het laatst ontrouw ben geweest.
Een 100% false positive uiteraard.
Wat ooit begon als een onschuldig man in the middle attack'je
(2 leuke meiden, te veel drank, ik) op een tupperware feestje.
Dat kleine wormpje uit die fles Mascal werd een virus in me.
Heeft zich genesteld in mijn Mbr en is gegroeid tot een Malware die ik niet meer
uit mijn Os krijg. Shame on me.
Heeft niets met security te maken, maar zie toch wel enige overeenkomsten
50% kans
Dat moet 's Gravenhagen zijn of Den Haag
Antwoord: Niemand weet, niemand weet, dat ik Repelsteeltje heet!
Ik weet het echt niet meer wanneer ik je voor het laatst ontrouw ben geweest.
...
Dat, of het antwoord veranderdt regelmatig ... :D
Een andere oplossing, die je nu natuurlijk niet meer moet gebruiken, is de naam van de site gebruiken.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
