La password è resa inutile dalla domanda segreta!

[matteolegna]

Poco tempo fa mi è capitato di non ricordare più la complicatissima password che avevo scelto per proteggere il mio account di posta elettronica. Ho seguito allora la procedura guidata per il recupero della password. Mi è stato chiesto di rispondere alla domanda segreta che avevo impostato tanto tempo fa, quando avevo creato l'account e, subito dopo, mi è stata data la possibilità di reimpostare la password.
Mi domando allora: a che serve escogitare password sicurissime quando basta conoscere la risposta segreta a domande che tutto sommato tanto segrete non sono? (del tipo come si chiama il tuo cane, il nome di tua nonna o la maestra delle elementari... risposte che spesso sono quasi di pubblico dominio)
Non basterebbe chiedere direttamente la risposta alla domanda e buonanotte?
Sono veramente sconcertato: è veramente facilissimo leggere la posta di qualcuno che si conosce!

[ilratman]

c'è una piccola differenza che i siti seri ti mandano alla tua mail personale, di cui ovviamente devi ricordare la password , un link a solo con quello puoi cambiare la password.

se tu non avessi la possibilità di recuperare o cambiare la password sarebbe grave.

[matteolegna]

Originariamente inviato da ilratman

c'è una piccola differenza che i siti seri ti mandano alla tua mail personale, di cui ovviamente devi ricordare la password , un link a solo con quello puoi cambiare la password.

se tu non avessi la possibilità di recuperare o cambiare la password sarebbe grave.

Beh, ma se poi i provider di posta elettronica come Gmail sono così facili da aggirare... tutto questo sistema va a farsi benedire...

[WarDuck]

Puoi sempre usare una risposta fasulla che solo tu sai .

[ilratman]

Originariamente inviato da matteolegna

Beh, ma se poi i provider di posta elettronica come Gmail sono così facili da aggirare... tutto questo sistema va a farsi benedire...

Non cambia visto che devono in ogni caso passare dal sito dove non ricordi la pass e di cui si spera tu non abbia rivelato ad altri tuoi dati sensibili.

Ps ovviamente parlo di quei fessi che mettono in facebook vita morte e miracoli di se stessi e famiglia nome del madre/cane compreso.

[matteolegna]

Originariamente inviato da ilratman

Ps ovviamente parlo di quei fessi che mettono in facebook vita morte e miracoli di se stessi e famiglia nome del madre/cane compreso.

oops...

[ilratman]

Originariamente inviato da matteolegna

oops...

He he

È meglio se cambi le risposte segrete con nomi di fantasia, ovviamente segnandoti su carta.

[xcdegasp]

non esiste software o servizio informatico indenne all'ingenuità dell'uomo, questa è una regola di vita che va sempre tenuta ben impressa a mente!

facebook ha solo aperto nuovi orrizzonti all'ingenuità dell'uomo

[DooM1]

Ma in effetti questo sistema della domanda segreta è abbastanza inutile, e anche secondo me diminuisce la sicurezza.
Tra l'altro ormai nei siti in cui ti registri è obbligatorio.

[cloutz]

paradossalmente, se il servizio è sicuro e per me indispensabile, preferisco dare in registrazione il numero di cellulare per farmi spedire lì via sms la One-Time Password per l'accesso.

ovviamente, quando vi registrate, leggete le policy e non accettate le voci dove promettono di mandarvi aggiornamenti, promozioni blablabla via sms.. ma non serve che lo dica

[DooM1]

Beh SMS o anche email, anzi in un cellulare puoi leggere un SMS anche senza password, in un email no. Certo il cellulare, anzi la SIM, dovresti prima avercela, per l'email basta un collegamento a internet ma conoscere la password.
Ma a questo punto, visto che normalmente la password viene fatta reimpostare tramite link, inviato all'email registrata, torna sicuro anche questo sistema.

[cloutz]

Originariamente inviato da DooM1

Beh SMS o anche email, anzi in un cellulare puoi leggere un SMS anche senza password, in un email no. Certo il cellulare, anzi la SIM, dovresti prima avercela, per l'email basta un collegamento a internet ma conoscere la password.
Ma a questo punto, visto che normalmente la password viene fatta reimpostare tramite link, inviato all'email registrata, torna sicuro anche questo sistema.

parto dal presupposto che:

- penso sia più fattibile avere accesso (da ogni parte del mondo) ad una mia casella email piuttosto che accesso (fisico) al mio cellulare*

- alle domande segrete si può rispondere, o cmq si può andare a tentativi in maniera più o meno verosimile (attacco da dizionario),
mentre il codice segreto non ha nulla di "probabilisticamente più indovinabile" essendo alfanumerico random (necessita di bruteforce, a meno che non si cerchi di decodificare l'algoritmo di randomizzazione a partire dai codici generati, che è fantascienza degna della serie Numb3rs )


*ciò è dipendente dal livello di sicurezza che usiamo nella quotidianità.
se lasciassi il cellulare incustodito ad estranei, magari senza alcun codice di sblocco, sarebbe tutto un altro conto..

Saluti

[DooM1]

Boh non sono del tutto d'accordo.
Per me la probabilità di riuscire ad accedere ad una casella email, è la stessa di forzare una buona password, con bruteforce e qualche centinaio d'anni
Non dico che con un cellulare sia più facile, ma non è nemmeno più difficile, secondo me.

Se anche un estraneo conoscesse la risposta alla domanda segreta, deve sempre passare per la password della casella email.

In pratica con la risposta segreta, ti stanno semplicemente dando l'opportunità di accedere al sito, oltre alla password dello stesso (presumibilmente dimenticata) con la password della tua casella email. Sempre di password si tratta.

Certo poi in teoria, la possibilità di trovare una delle 2 password, è doppia; rispetto a poterne trovare una sola.