Nota: ¡Esto se basa en una historia real!
La historia:
Alice y Bob son buenos amigos y cada uno conoce la dirección de correo electrónico personal de la otra persona y se comunican entre sí para usarla. Supongamos que son [email protected] y [email protected] para Bob y Alice, respectivamente.
Bob es miembro de una comunidad en línea (es decir, como un foro) y ha puesto otra dirección de correo electrónico de él, por ejemplo, [email protected] , en su perfil para que otros usuarios puedan contactarlo usando esa comunidad (que hace la comunidad en línea no tiene un sistema de mensajes incorporado para que los usuarios se contacten entre sí). Además, Bob ha configurado [email protected] como la dirección de correo electrónico de recuperación de [email protected] . Y no ha (intencionalmente) ha puesto ninguna otra información personal en su perfil que indique que esta cuenta pertenece a Bob.
Alice sabe que Bob es miembro de esta comunidad en línea, sin embargo, no sabe qué cuenta le pertenece a Bob. Ella sospecha que este perfil con la dirección de correo electrónico [email protected] pertenece a Bob, pero no está segura de ello. Para confirmar su sospecha, se le ocurre este plan:
Va al sitio web de Gmail, ingresa [email protected] como la dirección de correo electrónico y presiona el botón Forgot password? . Luego se muestra el siguiente mensaje:
Para obtener un código de verificación, primero confirme la dirección de correo electrónico de recuperación que agregó a su cuenta: "b********@example.com"
Ella ingresa [email protected] y luego se muestra el siguiente mensaje:
Ingrese el código de verificación enviado a
[email protected]...
Eso es todo! Ella descubre que la cuenta y la dirección de correo electrónico pertenecen a Bob. Ella se emociona y envía el siguiente mensaje a [email protected] como resultado:
¡Ja, ja! ¡EXPUESTO!
La pregunta:
Bueno, Bob está muy furioso por esto. Argumenta que ha seguido todas las pautas de seguridad y se ha esforzado por no exponer ninguna de su información e identidad personal. Más bien, culpa al proveedor de correo electrónico (es decir, a Gmail) y dice que deberían haber diseñado el mecanismo de recuperación de la cuenta de modo que proteja la identidad de la persona detrás de la dirección de correo electrónico.
Por otro lado, Alice, al mismo tiempo que se siente orgullosa de su ingenioso plan, piensa que en este caso hay un intercambio inevitable entre conveniencia y seguridad. Ella dice que Bob ha configurado el correo electrónico de recuperación para que no se preocupe por que su contraseña sea olvidada por él y, a su vez, esto tiene el efecto secundario de revelar su identidad.
¿Quién está aquí? Si cree que Bob está equivocado, ¿qué debería haber hecho para proteger tanto su identidad como su correo electrónico (es decir, mantenerlo recuperable)? Y si está del lado de Bob y piensa que es culpa del proveedor de correo electrónico, ¿cómo deberían haber implementado el mecanismo de recuperación?
Además, tenga en cuenta que no estoy insistiendo en que solo una de las partes tiene razón y la culpa está en el otro lado. Puede ser que ambas partes estén equivocadas o correctas también. Si tiene otros puntos de vista, me encantaría escucharlos.