科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道网络安全你的密码保护问题真的安全吗?

你的密码保护问题真的安全吗?

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

安全研究人员Elie Bursztein和Ilan Caron对Google用户使用的数以百万计的密保问题及答案进行了数据分析,研究结果表明,密保这种“忘记密码”后最基本的验证方式存在诸多安全隐患。

来源:51CTO 2015年5月26日

关键字: 密码安全 网络安全 密码验证

  • 评论
  • 分享微博
  • 分享邮件

安全研究人员Elie Bursztein和Ilan Caron对Google用户使用的数以百万计的密保问题及答案进行了数据分析,研究结果表明,密保这种“忘记密码”后最基本的验证方式存在诸多安全隐患。

你的密码保护问题真的安全吗?

你的密保问题安全吗?

你第一个宠物的名字叫什么?
你最喜欢的食物是什么?
你母亲的婚前姓是什么?

这些看似随机的问题有什么共同点?他们都是典型的“密保问题/安全问题”。你很可能回答过这种密保问题——很多在线服务用这些问题帮助用户在忘记密码的情况下进入账号,或者用作防止异地登录的额外安全保护。

尽管密保问题非常普及,他们的安全性和效率很少被深入研究过。我们对Google用户们使用的数以百万计的安全问题和答案进行了分析,然后计算黑客猜解这些问题答案的可能性。

最终我们得出的结论是——密保问题既不安全也不可靠,它不能够被单独当做“忘记密码”的恢复机制。因为所有的密保问题都有一个基本缺陷:问题的答案要么安全但很难记忆,要么容易记忆但并不安全。

你的密码保护问题真的安全吗?

易被猜解的密保问题

密码保护答案通常都会包含大家都知道的某些信息,或者由于文化的原因,答案被局限在某个小范围里面——比如某些国家中,有些姓比较常见。

我们的一些具体发现:

如果攻击者猜一次,他就有19.7%的概率猜到英语国家用户的“你最喜欢的食物”问题(顺便提一下,答案是“批萨”);
如果攻击者猜十次,他就有近24%的概率猜到阿拉伯语国家用户的“你第一位老师的名字”问题;
如果攻击者猜十次,他就有21%的概率猜中西班牙语国家用户的“你父亲的中间名”问题;
如果攻击者猜十次,他就有39%的概率猜中韩语国家用户的“你出生的城市”问题,有43%的概率能猜到他们最喜欢的食物。

而如果将密保设为“你的手机号码是什么?”这类相对私密的问题呢?

我们研究表明,37%的用户会故意为该问题设置为一个假的答案,并自作聪明地以为这会使得问题更难猜。事实上这种做法适得其反,因为很多人会想到一块去并使用相同的“假答案”,这反而增加了攻击者猜解正确的可能性。

问题安全了,但答案记不住了

“你母亲在哪读小学?”“你的图书馆卡号是多少?”这类密保问题的答案总归安全了吧?是的,但是这种问题的答案也更加难以记忆。

调查显示,40%美国用户回想不起他们的安全问题答案,上述两个问题,用户想起正确答案的概率仅为22%和9%。

用户对于相对简单的问题“你父亲的中间名?”记起答案的概率为76%,而“你的第一个手机号码?”则只有55%。

你的密码保护问题真的安全吗?

为什么不增加安全问题呢?

相比一个密保问题,两个或更多的密保问题猜解难度当然更大。但是代价就是用户成功恢复账号的概率大幅下降。

根据我们的数据,最简单的问题是“你出生的城市?”,用户有超过79%的概率回忆起答案;第二简单的是“你父亲的中间名?”,概率为74%。如果攻击者有十次猜测机会,他们6.9%和14.6%的可能性能够猜到问题的正确答案。

然而当用户需要同时回答这两个问题的时候,攻击者十次猜测,同时猜中两个答案的概率仅为1%,而用户同时回答对两个问题的概率也降至59%。

密保问题该淘汰了

密保问题是目前“忘记密码”的基本方式。但是根据本文的分析,你会发现这种方式的用户体验真的令人失望。

研究人员还是建议产品尽可能使用其他验证方式而不是密保问题,例如发送验证码到用户的手机或者备用email地址。这些是更安全,用户体验更好的方法。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章