Usted comenta que es más probable que los atacantes adivinen las preguntas de seguridad predeterminadas que las preguntas definidas por el usuario. Eso supone que su usuario promedio diseñará una pregunta mejor (por ejemplo, más secreta, menos fácil de adivinar) que las personas que implementan el sistema. Esto no parece ser cierto para la mayoría de los usuarios.
En un estudio de laboratorio los sujetos solo pasaron un promedio de 15 segundos con su propia pregunta de seguridad. Eso es muy poco tiempo para pensar en las características de lo que hace que una buena pregunta de seguridad. En un estudio diferente , los investigadores preguntaron a las personas que creaban preguntas de seguridad qué factores consideraban factores importantes al diseñar sus preguntas. El 70% identificó la "memorabilidad" como un factor muy importante, mientras que solo el 44% dijo que la "seguridad" era muy importante. Por lo tanto, permitir que los usuarios escriban sus propias preguntas a menudo resultará en una peor seguridad porque están enfocados en hacer que sean fáciles de responder, no se resistan a adivinar.
Pude observar este comportamiento un poco en un estudio que realicé hace unos años sobre los definidos por el usuario Pares de preguntas / respuestas de seguridad que se filtraron durante varias violaciones de la base de datos del sitio web. Descubrí que muchas de las preguntas eran del mismo tipo de cosas que uno esperaría ver en las listas de preguntas de seguridad predefinidas: nombre de soltera de la madre, nombre de la mascota, lugar de nacimiento. Pero esto incluía preguntas malas como "cuál es tu color favorito", donde algunas respuestas son mucho más probables que otras, y hacer cinco conjeturas (azul, púrpura, verde, rojo, negro) coincidiría correctamente con el 75% de las respuestas de los usuarios.
Peor aún, algunos usuarios elegirían minar completamente la seguridad de la pregunta a través de su elección. Algunos usuarios (15% en un sitio, 2% en otro) harían que la respuesta coincidiera con su pregunta. Un número pequeño (0.2% y 1.8%) incluso incluiría su contraseña como su pregunta. En estos casos, cualquier persona que pueda ver la pregunta podría utilizar esa información para iniciar sesión como usuario. Puede implementar controles para verificar las preguntas a medida que los usuarios las envían e intentar evitar este comportamiento, pero es bastante difícil de aplicar contra un usuario determinado a evitarlo.
Las preguntas de seguridad no son un método muy bueno para autenticar usuarios, pero permitir preguntas definidas por el usuario tiende a ser una solución aún peor. Si está decidido a utilizar preguntas de seguridad, deben ser evaluadas y elegidas por las personas más calificadas para evaluar sus pros y sus contras.