搜索

[8960] 2015-05-25_你的密码保护问题真的安全吗？

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-05-25_你的密码保护问题真的安全吗？ 你 的 密 码 保 护 问 题 真 的 安 全 吗 ？ F r e e B u f   2 0 1 5 - 0 5 - 2 5 微 信 号 ： 微 信 号 ： f r e e b u f 安 全 研 究 人 员 安 全 研 究 人 员 E l i e   B u r s z t e i n 和 和 I l a n   C a r o n 对 对 G o o g l e 用 户 使 用 的 数 以 百 万 计 的 密 码 保 护 问 题 及 答 案 进 行 了 数 据 分 析 ， 研 用 户 使 用 的 数 以 百 万 计 的 密 码 保 护 问 题 及 答 案 进 行 了 数 据 分 析 ， 研 究 结 果 表 明 ， 密 码 保 护 这 种 究 结 果 表 明 ， 密 码 保 护 这 种 “ 忘 记 密 码 忘 记 密 码 ” 后 最 基 本 的 验 证 方 式 存 在 诸 多 安 全 隐 患 。 后 最 基 本 的 验 证 方 式 存 在 诸 多 安 全 隐 患 。 你 的 密 保 问 题 安 全 吗 ？ 你 的 密 保 问 题 安 全 吗 ？ 你 第 一 个 宠 物 的 名 字 叫 什 么 ？ 你 最 喜 欢 的 食 物 是 什 么 ？ 你 母 亲 的 婚 前 姓 是 什 么 ？ 这 些 看 似 随 机 的 问 题 有 什 么 共 同 点 ？ 他 们 都 是 典 型 的 “ 密 保 问 题 / 安 全 问 题 ” 。 你 很 可 能 回 答 过 这 种 密 保 问 题 — — 很 多 在 线 服 务 用 这 些 问 题 帮 助 用 户 在 忘 记 密 码 的 情 况 下 进 入 账 号 ， 或 者 用 作 防 止 异 地 登 录 的 额 外 安 全 保 护 。 尽 管 密 保 问 题 非 常 普 及 ， 他 们 的 安 全 性 和 效 率 很 少 被 深 入 研 究 过 。 我 们 对 G o o g l e 用 户 们 使 用 的 数 以 百 万 计 的 安 全 问 题 和 答 案 进 行 了 分 析 ， 然 后 计 算 黑 客 猜 解 这 些 问 题 答 案 的 可 能 性 。 最 终 我 们 得 出 的 结 论 是 — — 密 保 问 题 既 不 安 全 也 不 可 靠 ， 它 不 能 够 被 单 独 当 做 “ 忘 记 密 码 ” 的 恢 复 机 制 。 因 为 所 有 的 密 保 问 题 都 有 一 个 基 本 缺 陷 ： 问 题 的 答 案 要 么 安 全 但 很 难 记 忆 ， 要 么 容 易 记 忆 但 并 不 安 全 。
易 被 猜 解 的 密 保 问 题 易 被 猜 解 的 密 保 问 题 密 码 保 护 答 案 通 常 都 会 包 含 大 家 都 知 道 的 某 些 信 息 ， 或 者 由 于 文 化 的 原 因 ， 答 案 被 局 限 在 某 个 小 范 围 里 面 — — 比 如 某 些 国 家 中 ， 有 些 姓 比 较 常 见 。 我 们 的 一 些 具 体 发 现 : 如 果 攻 击 者 猜 一 次 ， 他 就 有 1 9 . 7 % 的 概 率 猜 到 英 语 国 家 用 户 的 “ 你 最 喜 欢 的 食 物 ” 问 题 ( 顺 便 提 一 下 ， 答 案 是 “ 批 萨 ” ) ； 如 果 攻 击 者 猜 十 次 ， 他 就 有 近 2 4 % 的 概 率 猜 到 阿 拉 伯 语 国 家 用 户 的 “ 你 第 一 位 老 师 的 名 字 ” 问 题 ； 如 果 攻 击 者 猜 十 次 ， 他 就 有 2 1 % 的 概 率 猜 中 西 班 牙 语 国 家 用 户 的 “ 你 父 亲 的 中 间 名 ” 问 题 ； 如 果 攻 击 者 猜 十 次 ， 他 就 有 3 9 % 的 概 率 猜 中 韩 语 国 家 用 户 的 “ 你 出 生 的 城 市 ” 问 题 ， 有 4 3 % 的 概 率 能 猜 到 他 们 最 喜 欢 的 食 物 。 而 如 果 将 密 保 设 为 而 如 果 将 密 保 设 为 “ 你 的 手 机 号 码 是 什 么 ？ 你 的 手 机 号 码 是 什 么 ？ ” 这 类 相 对 私 密 的 问 题 呢 ？ 这 类 相 对 私 密 的 问 题 呢 ？
我 们 研 究 表 明 ， 3 7 % 的 用 户 会 故 意 为 该 问 题 设 置 为 一 个 假 的 答 案 ， 并 自 作 聪 明 地 以 为 这 会 使 得 问 题 更 难 猜 。 事 实 上 这 种 做 法 适 得 其 反 ， 因 为 很 多 人 会 想 到 一 块 去 并 使 用 相 同 的 “ 假 答 案 ” ， 这 反 而 增 加 了 攻 击 者 猜 解 正 确 的 可 能 性 。 问 题 安 全 了 ， 但 答 案 记 不 住 了 问 题 安 全 了 ， 但 答 案 记 不 住 了 “ 你 母 亲 在 哪 读 小 学 ？ 你 母 亲 在 哪 读 小 学 ？ ” “ 你 的 图 书 馆 卡 号 是 多 少 ？ 你 的 图 书 馆 卡 号 是 多 少 ？ ” 这 类 密 保 问 题 的 答 案 总 归 安 全 了 吧 ？ 是 的 ， 但 是 这 种 问 题 的 答 案 这 类 密 保 问 题 的 答 案 总 归 安 全 了 吧 ？ 是 的 ， 但 是 这 种 问 题 的 答 案 也 更 加 难 以 记 忆 。 也 更 加 难 以 记 忆 。 调 查 显 示 ， 4 0 % 美 国 用 户 回 想 不 起 他 们 的 安 全 问 题 答 案 ， 上 述 两 个 问 题 ， 用 户 想 起 正 确 答 案 的 概 率 仅 为 2 2 % 和 9 % 。 用 户 对 于 相 对 简 单 的 问 题 “ 你 父 亲 的 中 间 名 ？ ” 记 起 答 案 的 概 率 为 7 6 % ， 而 “ 你 的 第 一 个 手 机 号 码 ？ ” 则 只 有 5 5 % 。 为 什 么 不 增 加 安 全 问 题 呢 ？ 为 什 么 不 增 加 安 全 问 题 呢 ？ 相 比 一 个 密 保 问 题 ， 两 个 或 更 多 的 密 保 问 题 猜 解 难 度 当 然 更 大 。 但 是 代 价 就 是 用 户 成 功 恢 复 账 号 的 概 率 大 幅 下 降 。 根 据 我 们 的 数 据 ， 最 简 单 的 问 题 是 “ 你 出 生 的 城 市 ？ ” ， 用 户 有 超 过 7 9 % 的 概 率 回 忆 起 答 案 ； 第 二 简 单 的 是 “ 你 父 亲 的 中 间 名 ？ ” ， 概 率 为 7 4 % 。 如 果 攻 击 者 有 十 次 猜 测 机 会 ， 他 们 6 . 9 % 和 1 4 . 6 % 的 可 能 性 能 够 猜 到 问 题 的 正 确 答 案 。 然 而 当 用 户 需 要 同 时 回 答 这 两 个 问 题 的 时 候 ， 攻 击 者 十 次 猜 测 ， 同 时 猜 中 两 个 答 案 的 概 率 仅 为 1 % , 而 用 户 同 时 回 答 对 两 个 问 题 的 概 率 也 降 至 5 9 % 。 密 保 问 题 该 淘 汰 了 密 保 问 题 该 淘 汰 了 密 保 问 题 是 目 前 “ 忘 记 密 码 ” 的 基 本 方 式 。 但 是 根 据 本 文 的 分 析 ， 你 会 发 现 这 种 方 式 的 用 户 体 验 真 的 令 人 失 望 。 研 究 人 员 还 是 建 议 产 品 尽 可 能 使 用 其 他 验 证 方 式 而 不 是 密 保 问 题 ， 例 如 发 送 验 证 码 到 用 户 的 手 机 或 者 备 用 e m a i l 地 址 。 这 些 是 更 安 全 ， 用 户 体 验 更 好 的 方 法 。
* 参 考 来 源 G o o g l e   O n l i n e   S e c u r i t y   B l o g ， 译 / S p h i n x ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理