Las estúpidas preguntas secretas y la huella a distancia

Imagino que ya sabréis que la manera más fácil de hackear (un verbo que puede quedar grande para estas cosas) una cuenta de correo es mediante su «pregunta secreta». Un sistema de validación humana y de seguridad que aporta muy pocas ventajas para el usuario y, como digo, muchas facilidades al que realiza el ataque a poco que conozca a su víctima. Los niveles más bajos de la ingeniería social.

Si hacemos una búsqueda con la cadena de texto «recuperar contraseña» vemos que casi todos los resultados hacen referencia a MSN o Hotmail, los reyes del mambo en esto de las preguntas. Hasta el propio buscador sugiere filtrar resultados añadiendo esos gestores de webmail. Lamentablemente los resultados que devuelven son hilos de foros de casos concretos en lugar de las páginas de los propios gestores como MSN o Gmail. Estos segundos lo hacen mejor, esperan un día para presentarte la opción de la pregunta secreta, de forma que si consultas el correo a diario no te lo pueden levantar. Pero en mi pequeña investigación son los que más me han hecho flipar.

Las estúpidas preguntas de Gmail

Digo que son estúpidas porque, para empezar, no son preguntas secretas (la pregunta es «pública»), lo que debe ocultarse es la respuesta. Y, sobre todo, por las que tiene de serie:

Habéis leído, ¿no? El número de vuelo más frecuente o el nombre del primer profesor. No sé para qué clase de usuario (cliente a los ojos de Google) pensaron cuando se les ocurrió, hasta donde tengo entendido el número de vuelo cambia cada cierto tiempo, excepto el ochocientos y algo de Oceanic, que lleva años igual. No sé, de verdad que no lo sé, a lo mejor en Estados Unidos es normal. La del profesor es todavía peor, yo, hasta en preescolar, tenía varios profesores, siendo más correcto, profesoras. Pero no uno sólo. De esta forma la única opción lógica (y también la única recomendable) es la de escribir por uno mismo la pregunta. Las de Hotmail son más comunes, tu restaurante favorito o el nombre de un familiar, ambas fácilmente juanqueables.

No se pueden proponer cosas mejores tan a la ligera ya que si dejamos como única opción el enviar un enlace de reactivación a una cuenta asociada pecamos del mal de ING, que es que te obliga a tener anteriormente un producto similar, si la cuenta de correo anterior (tu otra cuenta y cada día la de más gente) no existe y al irla a crear nos encontramos con que estamos obligados a facilitar una tercera dirección donde poder enviar la URL de reactivación, mal vamos. El círculo se cierra para las personas que nunca hayan tenido una cuenta de correo. ¿Qué hacemos, montar un servicio técnico que te llame por teléfono para cambiar la contraseña? ¿Uno al que llamemos nosotros? No merece la pena. Cada vez que alguien no pudiese entrar colapsaría a toda una planta de hindúes con pinganillo.

Ciencia ficción, Access granted

Se me ocurre una especie de seguridad biométrica a distancia, ahora puedes comprar un lector de huella digital por USB por poco dinero pero la gente no le encuentra uso. Pues sencillo, que se ofrezca como opción la de subir un fichero (en el formato que corresponda, no controlo de eso) con los datos de las facciones de la cara, las venas de la mano, la huella digital o algo así a la hora de crear un cuenta, de forma que cuando no puedas acceder, pretendas cambiar de contraseña o cualquier picia te solicite volver a subir esos datos. Si obligamos a que la persona esté físicamente presente cuando se quiera cambiar algo -cosa que no consiguen las preguntas- ya ganamos unos puntos. Se pueden montar hasta chiringuitos 2.0 que centralicen estas cosas en la nube, como un tractor amarillo, es lo que se lleva ahora, un OpenID decente. ¿Qué pasa cuando nos olvidamos de la contraseña y no disponemos de un lector biométrico? Volvemos al punto de «por USB» y recordamos los precios tan bajos de los portátiles. Que tanto DNI electrónico y tanta pollada, pero para algunas cosas funcionamos con palos y piedras.

Visto en: Y mañana, «Me cago en los putos captchas».