Pag-aaral: Mga Lihim na Tanong Hindi Nakaingatan ang mga Password

Kahit na ang iyong asawa ay hindi alam ang iyong password sa e-mail, malamang na alam niya ang sapat na impormasyon upang makuha ito.

isang tinatawag na "lihim na tanong" bilang mekanismo ng pag-verify upang i-reset ang isang password ng account. Ngunit ang sagot ay kadalasang madaling mahulaan ng ibang tao na nakakaalam ng may-ari ng account, ayon sa isang bagong pag-aaral na inilabas sa panahon ng IEEE Symposium sa Seguridad at Pagkapribado sa linggong ito sa Oakland, California.

Sa iba pang mga kaso, ang mga estranghero ay maaaring matagumpay na matustusan ang mga sagot sa ilang mga katanungan, na kung paano mawalan ng kontrol sa kanyang Yahoo account ang Republican vice-presidential nominee na si Sarah Palin. Ang mag-aaral sa unibersidad na inakusahan ng pagkakasunud-sunod ng account, si David Kernell, ay nagsabi na kulang sa isang oras ng pagsasaliksik sa online upang makabuo ng mga tamang sagot para sa mga tanong sa seguridad para sa account ni Palin.

[Karagdagang pagbabasa: Paano alisin ang malware mula sa iyong Tinitingnan ng pag-aaral ang mga tanong na ginagamit ng Yahoo, Google, Microsoft at AOL noong Marso 2008. Sa isang pagsubok, ang mga mananaliksik ay nagpares magkasama ang dalawang tao, kasama ang may-ari ng e-mail account na hindi nila pinagkakatiwalaan ang iba pang taong may kanilang password. Kapag iniharap sa lihim na tanong ng may-ari ng account, ang iba pang mga tao ay nahulaan ito ng tama 17 porsiyento ng oras.

Kabilang sa dalawang tao na nagtitiwala sa isa't isa, isang kapareha ang nakapagbigay ng tamang sagot para sa isang Hotmail account 28 porsiyento ng oras, ang pag-aaral ay nagsabi.

Kahit na may mga katanungan na isinulat ng isang gumagamit - ang sistema na ginagamit ng Google ngayon - ang isang kumpletong estranghero ay maaaring hulaan ang sagot na 15 porsiyento ng oras sa loob ng limang mga pagtatangka. ang mga tanong ay napakalinaw na ang kaunting paghanap sa Internet ay maaaring maglabas ng mga listahan ng mga paboritong palabas sa TV, sodas, beers, aktor, atbp na makatutulong upang gawing posibleng mas targeted na guessing. Gayundin, ang heograpikal na data ay tumutulong sa mga tanong tulad ng "Ano ang iyong paboritong koponan sa sports," sabi ng pag-aaral.

"Ang aming mga resulta ay hindi nagbibigay sa amin ng kumpyansa na ang personal na mga tanong sa ngayon ay nagbibigay ng sapat na lihim na pagpapatunay," ang mga may-akda ay sumulat. "Ang mga mahirap hulaan ay mas malamang na mapili ng mga gumagamit sa unang lugar, at kapag napili sila ay mas malamang na maalaala."

Kahit na ang Yahoo ay isang beses na iniharap ang pinaka-hindi malilimot na hanay ng mga tanong sa oras, ang mga kalahok sa pag-aaral ay nakalimutan ang kanilang sariling mga sagot sa loob ng anim na buwan. Ang mga may-akda ay sumulat na ang Yahoo ay pinalitan ang lahat ng siyam sa mga personal na mga katanungan sa pagpapatotoo noong Pebrero.

Walang madaling pagsasaayos sa problema. Maraming iba pang mga Web site ay nakasalalay sa pagpapadala ng isang e-mail sa isang account ng isang tao upang i-verify ang isang tao, ngunit dahil ang e-mail account mismo ay kailangang ma-verify, ito ay posible ng isang problema.

Isang posibleng solusyon upang itigil ang statistical guessing attacks ay upang parusahan ang mga maling tugon depende sa kanilang katanyagan. Ang laki ng parusa, ang mga may-akda ay sumulat, ay nakasalalay sa pagkakataon ng lehitimong gumagamit na tumutugon sa maraming popular na mga sagot bago makuha ang tamang isa.

Ang data sa pag-aaral ay nagpapahiwatig na kung ang isang tao ay hindi tama hulaan ang dalawang popular na tugon para sa isang tanong, bihira silang makakuha ng pangatlong tanong na tama.

Gayundin, inirerekomenda ng mga may-akda ang pag-aalis ng mga tanong na istatistika na hulaan ng higit sa 10 porsiyento ng oras, tulad ng "Ano ang iyong paboritong bayan?" Tinukoy nila ang isang sagot bilang istatistika na hinulaang kung ito ay kabilang sa limang pinaka-tanyag na sagot na ibinigay ng iba pang mga kalahok sa kanilang pag-aaral.

Ang isa pang mekanismo ng pagpapatunay ay maaaring isang SMS (Short Message Service) na ipinadala ng e-mail provider sa isang tao cellphone. Ngunit mayroon ding mga katanungan sa seguridad, dahil ang mga telepono ay ninakaw at nawala, at ang pagpapadala ng SMS ay may mga alalahanin sa seguridad, isinulat nila.

Ang pag-aaral ay isinulat ni Stuart Schechter at A.J. Berheim Brush ng Microsoft Research at Serge Egelman ng Carnegie Mellon University.