Si un ladrón tiene el teléfono en su poder, ¿cómo se puede implementar la Recuperación de contraseña de forma segura?

3

La recuperación de contraseña estándar implica enviar un mecanismo de restablecimiento de contraseña al usuario; Ya sea para correo electrónico, sms o llamada telefónica. Sin embargo, si un ladrón ha sido robado, el ladrón tiene acceso total a estos servicios, lo que hace que el uso de dicho servicio no sea especialmente seguro.

Las preguntas memorables, etc., no son ideales, ya que se pueden adivinar (especialmente porque el ladrón en teoría tiene acceso a Facebook donde se pueden encontrar dichos datos).

La biometría tampoco está allí (no todos los teléfonos tienen registros de huellas dactilares) y el reconocimiento facial es fácil de jugar.

¿Cuál es la mejor opción para proporcionar la recuperación de contraseña para una aplicación móvil , suponiendo que el ladrón tiene acceso a los demás servicios de los usuarios?

    
pregunta JonW 14.09.2015 - 13:42
fuente

4 respuestas

3

Si considera que un dispositivo está comprometido, no puede hacer nada que dependa del envío de información al dispositivo. Esto incluye 2 factores de autenticación (SMS o aplicación) y correos electrónicos.

La única opción que le queda es basar el restablecimiento de la cuenta en que el usuario sepa algo (contraseña maestra, preguntas de seguridad) o una reunión cara a cara con dicho usuario (siempre que pueda autenticarlo físicamente). Alternativamente, se podría usar el correo postal estándar si tiene la dirección de su cliente validada.

Las aplicaciones de hoy no se molestan en hacer esto, ya que el cliente siempre es virtual y lo único que vincula a alguien con su cuenta es su dirección de correo electrónico. Esta es la razón por la que el usuario necesita la protección de dispositivos portátiles y no hay nada más que pueda hacer un proveedor de servicios para evitar esto.

    
respondido por el M'vy 14.09.2015 - 15:05
fuente
2

Absolutamente detesto las preguntas de seguridad; en muchos casos, como pueden decir los malhechores, como han dicho, y los usuarios (incluido yo mismo) los olvidan con más frecuencia de lo que algunos podrían esperar. Otras opciones de guardar secretos ciertamente funcionarán en principio. Puede proporcionar una clave de recuperación generada al registrarse para que los usuarios puedan ingresar a un sitio web o aplicación en el momento del restablecimiento, o hacer que se les presente un PIN de cinco o seis dígitos para desbloquear la aplicación de su teléfono (que incluiría un enlace a una opción de restablecimiento que satisfaría un factor cuando se activara), aunque tendría que diseñar y probar con un lápiz el código de desbloqueo de la aplicación para fortalecerlo (si solo los teléfonos tuvieran TPM) y su seguridad dependería de la La fuerza del PIN que eligió el usuario. Pero, por supuesto, esos problemas estarán en la mezcla con cualquier tipo de sistema basado en elementos secretos que actúa como una contraseña. Tal vez generar una frase de contraseña memorable pero adecuadamente aleatoria en el registro en lugar de una clave de recuperación ...

Pero realmente, si nos limitamos a un proceso de recuperación que no implique algo parecido a otra contraseña / PIN / frase de contraseña / o biometría, o equipo separado, esas pequeñas fichas de código de un solo uso seguro pueden aún puede ser útil en 2015; entonces podría utilizar el método común de que el usuario realmente hable con un agente de servicio al cliente y responda preguntas de verificación muy específicas extraídas de los datos de usuario que tenga para ellos. Obviamente, es mejor que tus representantes estén bien entrenados para ser lo suficientemente completos como para frustrar la ingeniería social aquí también. Un mecanismo más seguro, si tiene el nombre y la dirección del usuario, sería verificar la identidad de la manera en que lo hace la Oficina de Correos de los EE. UU. Cuando va a cambiar su dirección de correo en línea: tenga un servicio de verificación (o ruede el suyo) cargando el usuario una pequeña tarifa - por ejemplo, $ 1. Eso obliga a la unidad de resetado a ingresar un número de tarjeta de crédito / débito válido más una dirección de facturación válida asociada, etc. Luego, puede hacer coincidir ese nombre y dirección validados con la información del usuario que tiene archivada. Si la seguridad es realmente, realmente importante y reinicio inmediato & el acceso no es, incluso puede ir más lejos y, en lugar de verificar y restablecer inmediatamente, puede verificar y enviar por correo o FedEx una clave a la dirección validada (con el usuario pagando la entrega más rápida si él o ella elige esa ruta, por supuesto) , como han sugerido otros. O puede hacer que el usuario obtenga su identidad verificada por un notario (de todos modos, en los EE. UU.). O ...

De todos modos, mucho depende de cómo salga del equilibrio de la importancia de la seguridad frente a la importancia de evitar los inconvenientes para el usuario y permitir que el usuario recupere el acceso lo más rápido posible.

    
respondido por el mostlyinformed 15.09.2015 - 05:21
fuente
0

Las opciones que podría pensar fueron:

instala las aplicaciones antirrobo, algunas de las aplicaciones que te ayudarían a controlar y bloquear las pantallas, manipular también las sesiones de usuario del historial de navegación, si estuvieras usando un servicio de Android como Android perdido puede ayudarlo u

cierre la sesión de las sesiones y, si es posible, mantenga algunos servicios antirrobo en su teléfono y bloquee su teléfono a través de Internet

otras soluciones podrían engañar al ladrón para que haga clic en el enlace malicioso enviado por usted y controle su dispositivo, si el dispositivo estuviera conectado a través de wifi, podría buscar la ubicación de wifi y bloquear el dispositivo

la última opción podría ser inyectar una carga útil como esto y hackear tu propio teléfono

    
respondido por el BlueBerry - Vignesh4303 14.09.2015 - 15:11
fuente
0

La solución más simple es usar el número de teléfono y / o la dirección de correo electrónico que no están almacenados en el dispositivo. Pueden ser los de su familia o un correo electrónico de respaldo que no esté conectado a menos que sea un caso de emergencia. Debes animar al usuario a hacer eso.

    
respondido por el jcp0908 15.09.2015 - 06:02
fuente

Lea otras preguntas en las etiquetas