你的密码保护问题真的安全吗？

发布时间：2015-05-26 10:00:12作者：知识屋

你的密码保护问题真的安全吗？

安全研究人员Elie Bursztein和Ilan Caron对Google用户使用的数以百万计的密码保护问题及答案进行了数据分析，研究结果表明，密码保护这种“忘记密码”后最基本的验证方式存在诸多安全隐患。

你的密保问题安全吗？

你第一个宠物的名字叫什么？

你最喜欢的食物是什么？

你母亲的婚前姓是什么？

这些看似随机的问题有什么共同点？他们都是典型的“密保问题/安全问题”。你很可能回答过这种密保问题——很多在线服务用这些问题帮助用户在忘记密码的情况下进入账号，或者用作防止异地登录的额外安全保护。

尽管密保问题非常普及，他们的安全性和效率很少被深入研究过。我们对Google用户们使用的数以百万计的安全问题和答案进行了分析，然后计算黑客猜解这些问题答案的可能性。

最终我们得出的结论是——密保问题既不安全也不可靠，它不能够被单独当做“忘记密码”的恢复机制。因为所有的密保问题都有一个基本缺陷：问题的答案要么安全但很难记忆，要么容易记忆但并不安全。

你的密码保护问题真的安全吗？

易被猜解的密保问题

密码保护答案通常都会包含大家都知道的某些信息，或者由于文化的原因，答案被局限在某个小范围里面——比如某些国家中，有些姓比较常见。

我们的一些具体发现:

如果攻击者猜一次，他就有19.7%的概率猜到英语国家用户的“你最喜欢的食物”问题(顺便提一下，答案是“批萨”)；
如果攻击者猜十次，他就有近24%的概率猜到阿拉伯语国家用户的“你第一位老师的名字”问题；
如果攻击者猜十次，他就有21%的概率猜中西班牙语国家用户的“你父亲的中间名”问题；
如果攻击者猜十次，他就有39%的概率猜中韩语国家用户的“你出生的城市”问题，有43%的概率能猜到他们最喜欢的食物。

而如果将密保设为“你的手机号码是什么？”这类相对私密的问题呢？

我们研究表明，37%的用户会故意为该问题设置为一个假的答案，并自作聪明地以为这会使得问题更难猜。事实上这种做法适得其反，因为很多人会想到一块去并使用相同的“假答案”，这反而增加了攻击者猜解正确的可能性。
问题安全了，但答案记不住了

“你母亲在哪读小学？”“你的图书馆卡号是多少？”这类密保问题的答案总归安全了吧？是的，但是这种问题的答案也更加难以记忆。

调查显示，40%美国用户回想不起他们的安全问题答案，上述两个问题，用户想起正确答案的概率仅为22%和9%。

用户对于相对简单的问题“你父亲的中间名？”记起答案的概率为76%，而“你的第一个手机号码？”则只有55%。

你的密码保护问题真的安全吗？