Weil die Leute faul und / oder inkompetent sind. Und nun, Sie wissen, das Internet ist voller Schimpansen.

Ich würde argumentieren, dass alle Sicherheitsfragen schlecht sind, aber die Verwendung des Mädchennamens der Mutter ist außergewöhnlich schlecht:

• Zumindest in Schweden kann ich den Mädchennamen eines jeden nur durch einen einfachen Anruf beim Finanzamt herausfinden. Es handelt sich buchstäblich um öffentliche Informationen.
• Es ist 2018 und es ist ziemlich üblich, dass Paare den Namen der Braut annehmen, wenn sie heiraten. Der Mädchenname Ihrer Mutter ist dann Ihr Nachname. Großartig.

• Luis Casillas fügt zu Recht hinzu:

  Es gibt Dutzende von Ländern mit Milliarden von Einwohnern, in denen Frauen nicht anziehen Ändern Sie nicht ihren legalen Namen, wenn sie heiraten. Insbesondere in den Vereinigten Staaten gibt es riesige Minderheiten von Einwanderern aus solchen Ländern.

Im Ernst, dafür gibt es keine Ausreden. Es ist nur schlecht.

"Sicherheitsfragen" sind möglicherweise die einzige Lösung für ein schwieriges Problem. Sie haben einen Kunden, der sein Passwort (und seinen E-Mail-Zugang) verloren hat und beide möchten ihn zurückbekommen.

Es ist möglicherweise nicht verhältnismäßig, sie in Ihrem Büro oder bei einem Notar persönlich überprüfen zu lassen. Dies wäre wirklich die einzige absolut sichere Lösung (Abgleich der sicheren Regierungs-ID mit ihrem Erscheinungsbild / ihrer Biometrie).

Ich denke, Banken (zum Beispiel), die diese Art der Überprüfung verwenden, haben ziemlich gute Statistiken über die Prävalenz jeder Art von Betrug und kennen die Risiken und Vorteile (z. B. sagen, meine Bank muss mich wann identifizieren Wenn sie nach Übersee reisen, können sie das nicht und sie verlieren mir einen Kunden zusammen mit Zehntausenden an lebenslangen Gewinnen - im Gegensatz dazu erlauben sie die betrügerische Verwendung einer Karte und verlieren Zehntausende direkt - aber sie wissen, dass nur 5% der gekennzeichneten Transaktionen tatsächlich betrügerisch sind. .

Lethargie und / oder Trägheit

Ernsthaftere Institutionen verließen sich darauf, dass diese Informationen einige Jahrzehnte lang im Wesentlichen geheim waren. Das Zeitalter von Massenverstößen gegen Daten ist sehr neu.

Die meisten Unternehmen reagieren nur langsam auf Änderungen.

Einfach wie

Falsche Annahmen.

Sicherheitsfragen basieren ebenso wie "komplexe" Kennwortanforderungen auf Best Practices, sind es aber nicht. Wie eine mündliche Überlieferung werden viele dieser Praktiken von einer Sicherheitsperson zur nächsten weitergegeben und selten in Frage gestellt (wenn sie befragt werden, stellt sich oft heraus, dass sie falsch sind).

Sicherheitsfragen sind eine davon diese Dinge. Jemand hatte eine vernünftige Idee, und sehr bald entwickelte sich eine ziemlich standardmäßige Liste solcher Fragen, und seitdem hat jeder im Grunde genommen von dort kopiert, ohne zu fragen.

Also ja, Sie haben Recht, dies und fast Jede andere "Sicherheitsfrage" ist eine Gefahr und in der Regel viel, viel einfacher herauszufinden als selbst ein schwaches Passwort (z. B. alles, was nicht auf der Top-20-Liste steht).

Benutzerfreundlichkeit über Sicherheit, leider

Die Banken möchten sicher sein, sehen sich jedoch einer Kundschaft gegenüber, für die Benutzerfreundlichkeit obligatorisch ist .

Diese Kundschaft besteht nicht aus unseren Kollegen. Dazu gehören diejenigen, die "die Gub'mint" fürchten, Senioren, die Veränderungen nicht verstehen und sich ihnen widersetzen, geistig behinderte Menschen, die Jahre gebraucht haben, um dieses System zu lernen und einfach kein anderes Programm verarbeiten können, ganz zu schweigen von Mitarbeitern zB jemand, der mit Vollmacht für einen Nachlass oder eine behinderte Person handelt. Welches System Sie auch entwickeln, es muss für alle diese Personen zugänglich sein, es sei denn, Sie möchten Zugriffsebenen haben. Wir haben den kleinsten gemeinsamen Nenner oder fahren mit der Geschwindigkeit des langsamsten Schiffes.

Geld über Sicherheit: Haftungsverschiebung

Das Bankensystem basiert weitaus mehr auf Vertrauen , als irgendjemand zugeben möchte. Betrug wird von sehr aktivem Sicherheitspersonal eingedämmt, das dem Bären nicht entkommen muss . Wenn die Bankensicherheit gerade gut genug ist, dass Angreifer auf ein einfacheres Mittel zum Geldverdienen umsteigen, gewinnt die Bank. Dieser Verbrecher, der die Bank angegriffen hätte, droht stattdessen, ein IRS-Agent zu sein, und bringt einen Rentner dazu, freiwillig Western Union ihre Lebensersparnisse zukommen zu lassen. Dieser Rentner kann nicht zur Bank zurückkehren und sein Geld zurückfordern, also ist die Bank im klaren.

Diese Art der "Haftungsverschiebung" ist ein wichtiger Bestandteil der Bankstrategie. Alles, was sie tun, wird die Haftung von der Bank weg verlagern. Sie haben keinen Anreiz, ein stärkeres System zu installieren, das bei einem Ausfall mehr Haftung für die Bank schafft.

"Sicherheitsfragen" sind im Allgemeinen eine unglaublich dumme Idee.

Jedes Mal, wenn Sie ein Passwort erstellen, wird routinemäßig empfohlen, dass Sie keine persönlichen Informationen für ein Passwort verwenden sollten, wie z. B. Ihren Aufenthaltsort High School oder Ihre Lieblingsfarbe oder das Auto, das Sie fahren, weil ein Hacker, der versucht, in Ihr Konto einzudringen, diese Dinge möglicherweise entdecken oder erraten kann. Stattdessen sollten Sie eine bedeutungslose Folge von Buchstaben und Ziffern verwenden, die für niemanden zu erraten ist.

Aber ... wir verstehen, dass bedeutungslose Folgen von Buchstaben und Ziffern schwer zu merken sind. Lassen Sie uns also Sicherheitsfragen erstellen, die effektiv als alternative Passwörter fungieren, und für diese verwenden wir etwas, an das Sie sich leicht erinnern können, z. B. wo Sie zur High School gegangen sind, Ihre Lieblingsfarbe oder das Auto, das Sie fahren. Denn während ein Hacker möglicherweise versucht, diese Art von persönlichen Informationen für ein Passwort zu erraten, würde es einem Hacker in einer Million Jahren niemals in den Sinn kommen, die Antwort auf eine Sicherheitsfrage zu erraten.

Zumindest wenn Sie Wenn der Hacker einige persönliche Informationen für ein Passwort verwendet hat, weiß er nicht, ob Sie Ihre Highschool, Ihre Lieblingsfarbe oder eine Automarke verwendet haben. Bei Sicherheitsfragen sagen wir ihm jedoch, was es ist.

Wenn jemand Sie kennt, sind viele Sicherheitsfragen leicht zu finden oder zu erraten. Vielleicht sind Sie aus einer anderen Stadt hierher gezogen, aber es besteht eine faire Chance, dass Sie dort aufgewachsen sind, wo Sie jetzt leben. Wenn Sie also davon ausgehen, dass die High Schools in der Umgebung eine faire Chance haben, einen Treffer zu erzielen. Er könnte wissen, welches Modellauto Sie fahren. Wenn nicht, gibt es nicht allzu viele verschiedene Automarken. Wenn Sie Leute nach ihrer Lieblingsfarbe fragen, nennen die meisten Leute eines von ungefähr einem Dutzend. (Nun, die meisten Männer jedenfalls. Frauen kennen die Namen von weit mehr Farben als Männer.)

Ein System, für das ich kürzlich ein Konto erstellt habe, beschränkte seine Sicherheitsfragen auf Dinge mit einer relativ geringen Anzahl von Möglichkeiten und stellte dann Dropdowns für jedes von ihnen bereit! Sagen Sie dem Hacker, hier sind die 20 möglichen Passwörter, aus denen jemand auswählen durfte! Ich habe Systeme gesehen, bei denen ich ein Passwort mit mindestens 8 Zeichen auswähle, denn wenn ich nur 6 oder 7 eingegeben habe, sind das nur ein paar Milliarden Möglichkeiten, und ein Hacker könnte es mit einem Brute-Force-Angriff bekommen. Aber dann haben wir ein alternatives Passwort, in dem wir die 20 Auswahlmöglichkeiten hilfreich auflisten. Das erspart dem Hacker, sich Sorgen machen zu müssen, dass er durch Großschreibung oder falsche Schreibweise gestolpert wird.

Die Antwort lautet wie folgt: Warum haben wir im wirklichen Leben einfache Sperren, die so einfach zu öffnen oder zu knacken sind?

Es ist immer gut, wenn der Benutzer seine Sicherheitsstufe auswählt

Ich wette, das Passwort zum Abfeuern von Atombomben konnte nicht mit dem Mädchennamen der Mutter wiederhergestellt werden. Aber ein typischer Benutzer hat 2-3, vielleicht 10 wirklich wichtige Konten. Und Hunderte anderer Konten. Z.B. Konto im elektronischen Online-Shop. Es ist mir egal, ob jemand es hackt und weiß, was ich 2011 gekauft habe. Ich interessiere mich nicht für ein Konto in einem DIY-Forum, in dem ich einmal um ein paar Ratschläge gebeten habe.

Für viele solcher Konten benötigen die Leute "einfache Schlösser". Einfache Passwörter (wie '123456'), die nicht häufig geändert werden müssen, und eine einfache Möglichkeit, sie wiederherzustellen. Benutzerfreundlichkeit über Sicherheit. Und das ist nicht "traurig", so muss es sein, wenn der Benutzer mehr Benutzerfreundlichkeit als Sicherheit will.

Der Zweck der Sicherheitsfrage ist die langfristige Gültigkeit. Sie müssen sich daran erinnern, wenn Sie das Passwort vergessen / verloren haben. Aus diesem Grund passt eine inhärente Information, die Sie nicht leicht verlieren können, gut. Dies bedeutet, dass die erste Annahme der Frage nicht passt.

Was den zweiten Teil betrifft, der öffentlich bekannt werden könnte oder bereits bekannt ist: a) Solche Sicherheitsfragen sind in der Regel (wenn sie richtig gestellt werden) eine Option für Sie brauche sie nicht unbedingt - und du kannst eine von vielen wählen. Es ist Sache des Benutzers, zu entscheiden, wie bekannt jeder in seinem Kontext ist (insbesondere, ob ein Angreifer wahrscheinlich seinen normalen Namen in dem Stadium kennt, in dem die Sicherheitsfrage beantwortet werden muss).
b) richtig Bei der Implementierung sollte die Sicherheitsfrage nur ein Teil einer Mehrwegeauthentifizierung sein, da sie immer leichter zu knacken sind als ein Kennwort. Ein anderer Teil ist möglicherweise der Zugriff auf die E-Mail-Adresse, mit der Sie ein Konto registriert haben.

In Bezug auf das Spektrum von Bequemlichkeit bis zur Sicherung der ersten Frage ist dies für Benutzer möglicherweise nicht immer eine schlechte Wahl. Mein Lieblingsfilm, der Name meines Haustieres usw. sind nicht die stärksten Geheimnisse.

Wie bei b) Paypal verwendet diesen Ansatz, um einen Mehrwege-Authentifizierungsansatz zu verwenden, wenn Sie versuchen, Ihr Passwort zurückzusetzen. Dabei müssen Sie Antworten auf mehrere Sicherheitsfragen dieser Art geben. Außerdem müssen Sie Zugriff auf Ihre E-Mail-Adresse haben. Alternativ können Sie eine registrierte Telefonnummer anrufen und den Code, den Sie erhalten, als zweite Authentifizierungsmethode verwenden. Es ist Teil einer Mischung von Maßnahmen - das Ziel ist es, einen Kompromiss zwischen Komfort und Sicherheit zu schaffen.