Warum Sie Fragen zur Passwortsicherheit falsch beantworten

Werbung

Wenn wir uns bei einem neuen Onlinedienst anmelden, werden wir ausnahmslos aufgefordert, ein Passwort zu erstellen. Dadurch wird das neue Konto sofort gesichert. Wenn Sie vernünftig sind, wählen Sie eine lange, völlig zufällige Zeichenfolge oder Lassen Sie eine Passwortverwaltungs-App die Arbeit erledigen Der vollständige Leitfaden zur Vereinfachung und Sicherung Ihres Lebens mit LastPass und XmarksWährend die Cloud bedeutet, dass Sie überall problemlos auf Ihre wichtigen Informationen zugreifen können, bedeutet dies auch, dass Sie viele Passwörter im Auge behalten müssen. Deshalb wurde LastPass erstellt. Weiterlesen für dich. Als nächstes folgen Sicherheitsfragen.

Bei diesen Fragen werden normalerweise der Mädchenname Ihrer Mutter, der Name Ihrer Grundschule, der Name Ihres ersten Haustieres usw. abgefragt. Die Sicherheitsfragen wurden entwickelt, um unsere Konten vor potenziellen Hackern zu schützen. Sie sollten als zusätzliche Verteidigungslinie dienen.

Wie beantworten Sie diese Fragen? Sagst du die Wahrheit, die ganze Wahrheit und nichts als die Wahrheit? Leider kann Ihre Wahrhaftigkeit zu einem unerwarteten Riss in Ihrer Online-Rüstung führen. Schauen wir uns genau an, wie Sie

sollte beantworte diese Fragen.

Eine Schutzbarriere

Passworthinweise sind zweifellos hilfreich. Ein hilfreicher Hinweis wird angezeigt, wenn Sie Ihr Windows-Kennwort vergessen haben. Und das nach nur einem einzigen fehlgeschlagenen Versuch. Im Fall des Windows-Kennworts sollte Ihr Hinweis Ihren Speicher aktualisieren. Es erinnert Sie daran, einen von Ihnen ausgewählten Hinweis zu verwenden, damit Sie so kryptisch oder offen sein können, wie Sie sich fühlen.

Sicherheitsfragen sind unterschiedlich. Wir stellen uns regelmäßig den oben erwähnten bekannten Fragenkombinationen und geben bereitwillig genaue Antworten. Sicherheitsfragen werden als zusätzliche Verteidigungslinie dargestellt. Sie sollten jedoch die relative Leichtigkeit in Betracht ziehen, einige der Antworten in der heutigen ultra-vernetzten Gesellschaft zu erhalten.

Sicherheitsforscher verspotten regelmäßig Sicherheitsfragen als glanzlos So erstellen Sie eine Sicherheitsfrage, die sonst niemand erraten kannIn den letzten Wochen habe ich viel darüber geschrieben, wie man Online-Konten wiederherstellbar macht. Eine typische Sicherheitsoption ist das Einrichten einer Sicherheitsfrage. Dies bietet möglicherweise eine schnelle und einfache Möglichkeit, ... Weiterlesen . Können wir an eine Sicherheitsmaßnahme glauben, deren Antworten so leicht gefunden werden können?

Ich mache es falsch?

Angreifer jagen den einfachen Fragen nach So erkennen und vermeiden Sie 10 der heimtückischsten Hacking-TechnikenHacker werden immer hinterhältiger und viele ihrer Techniken und Angriffe bleiben selbst von erfahrenen Benutzern oft unbemerkt. Hier sind 10 der heimtückischsten Hacking-Techniken, die es zu vermeiden gilt. Weiterlesen - Farben, Mädchennamen, erste Haustiere - weil sie es sind leicht über Social-Media-Konten erhältlich So schützen Sie sich vor diesen 8 Social-Engineering-AngriffenWelche Social-Engineering-Techniken würde ein Hacker anwenden und wie würden Sie sich davor schützen? Werfen wir einen Blick auf einige der häufigsten Angriffsmethoden. Weiterlesen . Wenn Ihr Konto äußerst spezifische Fragen und Antworten verwendet, kann ein Angreifer andere potenzielle Kennwörter entfernen.

Zum Beispiel, wenn die Sicherheitsfrage lautete: "Wo haben Sie Ihr erstes Auto gekauft?" Der Angreifer kann andere, einfachere Antworten sofort ignorieren.

Ich bin sicher, Sie haben bereits die offensichtliche Lösung für dieses Sicherheitsproblem gefunden. Wenn der Angreifer nach einer Antwort sucht, die sich direkt auf Sie bezieht, warum nicht etwas völlig anderes verwenden?

• Wie lautet der Mädchenname Ihrer Mutter? fa1c0npunc4
• Wo hast du deine Frau getroffen? b1cycl3tyr3
• Was war der Name deines ersten Haustieres? n0str0d4mu5

Okay, das sind schreckliche Beispiele, aber du fängst meinen Drift auf. Wenn die Antwort a) dunkel und b) zufällige Zeichen verwendet, werden Sie sofort Legen Sie die Sicherheitsleiste Ihrer Konten etwas höher fest Haben Sie diese 5 ersten Schritte unternommen, um Ihre Konten online zu sichern?Es ist überraschend, wie viele Menschen diese Grundlagen der Online-Sicherung ignorieren. Diese fünf Websites und Tools erleichtern die Online-Sicherheit. Weiterlesen .

Und das macht mich sicher?

Sicherer, Freund, aber nicht ganz sicher.

Sie sehen, im Jahr 2015, Google veröffentlicht Ein interessantes Dokument, in dem die Lehren aus Sicherheitsfragen untersucht werden. Mit ihrem nahezu konkurrenzlosen Datensatz analysierten sie die geheimen Fragen ihrer monumentalen Benutzerbasis und versuchten zu verstehen, wie effektiv diese zusätzliche Sicherheitsschicht ist.

Unsere Analyse bestätigt, dass geheime Fragen im Allgemeinen eine Sicherheitsstufe bieten, die weit unter den vom Benutzer ausgewählten Passwörtern liegt. Es stellt sich heraus, dass es noch niedriger ist als Proxies, wie es die tatsächliche Verteilung der Nachnamen in der Bevölkerung anzeigen würde.

Überraschenderweise haben wir festgestellt, dass eine wesentliche Ursache für diese Unsicherheit darin besteht, dass Benutzer häufig nicht wahrheitsgemäß antworten. Eine von uns durchgeführte Benutzerumfrage ergab, dass ein erheblicher Teil der Benutzer (37%), die zugaben, falsche Antworten gegeben zu haben, dies tat, um dies zu versuchen Machen Sie sie „schwerer zu erraten“, obwohl dieses Verhalten insgesamt den gegenteiligen Effekt hatte, da die Menschen ihre Antworten auf vorhersehbare Weise „verhärten“.

Warum versuchen wir zu lügen, aber dann tun wir es so schlecht? Wie Sie in der obigen Tabelle sehen können, gibt die Mehrheit der Befragten falsche Antworten mit der Überzeugung, dass dies ihre Sicherheit erhöht. Wir können dann davon ausgehen, dass die breite Öffentlichkeit (wenn auch eine winzige Momentaufnahme einer riesigen Datenbank) versteht, dass die Sicherheitsfragen gegen sie verwendet werden können und werden.

Das Google-Forschungsteam kommt letztendlich zu dem Schluss, dass Sicherheitsfragen entweder etwas sicher oder leicht zu merken sind, aber die goldene Kombination ist selten zu finden. "Während Google die Wiederherstellung von SMS und E-Mails bevorzugt, ist kein Mechanismus perfekt."

Ein Paradebeispiel

Leider lehnte Google es ab, die wahre Größe der für die Studie verwendeten Datenbank anzugeben. Sie bestätigten jedoch, dass „die betrachteten Daten Hunderte Millionen Datenpunkte und jeweils Daten enthalten Die analysierte Frage hatte über 1 Million Antworten. “ Wesentliche Zahlen, unter Berücksichtigung ihrer geschätzten Nutzerbasis.

Im Jahr 2016 hat United Airlines sein neues, aktualisiertes Sicherheitsschema für seine Kundenkonten eingeführt. Das alte System, das sich auf vierstellige PINs stützte, wurde zu Recht als ungeeignet für Konten angesehen, die möglicherweise Hunderttausende von Dollar Vielfliegermeilen enthalten. Für das aktualisierte System müssen Benutzer ein eindeutiges Kennwort eingeben und fünf persönliche Sicherheitsfragen beantworten.

Hört sich gut an, oder? Außer United Airlines bitten Sie ihre Kunden, ein sicheres, eindeutiges Passwort zu wählen und ihre Fragen mit einem vorher festgelegten Satz von Antworten zu beantworten. Das ist richtig: vorherbestimmte Antworten. Wenn Sie beispielsweise die Frage „In welchem ​​Monat haben Ihre besten Freunde Geburtstag?“ Wählen, haben Ihre potenziellen Angreifer - Sie haben es erraten - nur zwölf Antworten, um sich durchzukämpfen. Harte Zeiten.

Gemeinsamer Grund: "Die meisten Sicherheitsprobleme, mit denen unsere Kunden konfrontiert sind, lassen sich auf Computerviren zurückführen, die die Eingabe aufzeichnen. Die Verwendung vordefinierter Antworten schützt vor dieser Art von Eindringen."

Sicherheitsforscher Brian Krebs sprach direkt an den Direktor von IT Airlines für IT-Sicherheitsinformationen, Benjamin Vaughn. Vaughn sagte, dass das Unternehmen „die Fragen randomisiert hat, um Bot-Programme zu verwirren, die das automatisieren wollen Die Übermittlung von Antworten und die falsch beantworteten Sicherheitsfragen werden gesperrt und nicht gestellt nochmal."

"Sicherheitsfragen sind der am wenigsten sichere Weg, um etwas zu sichern." Rik Ferguson @Trend Micro# AISA2016

- Tracey Spicer (@TraceySpicer) 19. Oktober 2016

Darüber hinaus bestätigte Vaughn Krebs, dass mehrere erfolglose Versuche zu einem gesperrten Konto führen würden. Folglich muss der Benutzer direkt mit United Airlines kommunizieren, um sein Konto zu entsperren.

Konventionelle Weisheit

United Airlines hat eine Sicherheitslücke identifiziert, deren Antwort das Problem jedoch nicht vollständig gelöst hat. Wie wir gesehen haben, ist die einzige wirklich sichere Möglichkeit, eine Sicherheitsfrage zu beantworten, ähnlich wie bei einem Passwort, etwas wirklich Einzigartiges und Zufälliges bereitzustellen. Dies in der Hoffnung, dass potenzielle Hacker von der Komplexität enttäuscht werden und zum nächsten Konto übergehen.

Die Feststellung, dass die breite Öffentlichkeit unter Sicherheitsmüdigkeit leidet, ist wichtig, da sie Auswirkungen auf den Arbeitsplatz und den Alltag der Menschen hat. Dies ist wichtig, da so viele Menschen online Bankgeschäfte tätigen und das Gesundheitswesen und andere wertvolle Informationen ins Internet verlagert werden.

Wenn Menschen keine Sicherheit nutzen können, werden sie dies nicht tun, und dann werden wir und unsere Nation nicht sicher sein.

- Kognitionspsychologe und Sicherheitsermüdung Co-Autor Brian Stanton

Leider ist Sicherheitsmüdigkeit ein sehr reales Problem. Benutzer werden zunehmend müde. Sicherheitsverletzungen und erzwungenes Zurücksetzen von Passwörtern sind mittlerweile so häufig, dass viele Benutzer Warnungen einfach ignorieren. Diese Müdigkeit führt zu einem riskanten Benutzerverhalten sowohl zu Hause als auch am Arbeitsplatz. Wir schlagen vor:

• Automatisieren — Übernehmen Sie die Kontrolle über Ihre Sicherheit und automatisieren Sie Scans und Backups Zahlen Sie nicht - wie man Ransomware schlägt!Stellen Sie sich vor, jemand tauchte vor Ihrer Haustür auf und sagte: "Hey, in Ihrem Haus sind Mäuse, von denen Sie nichts wussten. Geben Sie uns 100 Dollar und wir werden sie los. "Dies ist die Ransomware ... Weiterlesen und mehr.
• Passwortverwaltung — In LastPass verfügbare Lösungen zur Kennwortverwaltung Beherrschen Sie Ihre Passwörter endgültig mit Lastpass 'Security ChallengeWir verbringen so viel Zeit online mit so vielen Konten, dass es sehr schwierig sein kann, sich Passwörter zu merken. Besorgt über die Risiken? Erfahren Sie, wie Sie die Security Challenge von LastPass verwenden können, um Ihre Sicherheitshygiene zu verbessern. Weiterlesen oder KeyPass, und beide kümmern sich auch um Ihre Sicherheitsfragen.
• In Besitz nehmen - Ihre Datensicherheit liegt in Ihrer Verantwortung. Wir haben hohe Erwartungen an die Institutionen, die unsere Daten speichern, und das zu Recht. Das heißt, wenn Sie zu Hause keine strengen Sicherheitsmaßnahmen ergreifen, werden Sie einen Teil der Schuld teilen.

Wir haben ausführlich über die Überwindung von Sicherheitsmüdigkeit geschrieben 3 Möglichkeiten, Sicherheitsmüdigkeit zu überwinden und online sicher zu bleibenSicherheitsmüdigkeit - eine Müdigkeit im Umgang mit Online-Sicherheit - ist real und macht viele Menschen weniger sicher. Hier sind drei Dinge, die Sie tun können, um Sicherheitsmüdigkeit zu überwinden und sich selbst zu schützen. Weiterlesen . Lesen Sie es durch und übernehmen Sie die Kontrolle über Ihre Sicherheitsfragen!

Wie beantworten Sie Ihre Sicherheitsfragen? Hast du den Sweet Spot erreicht? Oder verwenden Sie eine Passwortverwaltungs-App? Teilen Sie uns unten Ihre Tipps zu Sicherheitsfragen mit!