¿Existe alguna seguridad / vulnerabilidad adicional si permite que una "parte confiable" acredite que usted es legítimo, si se le excluyó de su cuenta?

Parte de confianza es exactamente eso. Alguien de confianza cuando te identifica.

El comprobante más básico ocurre cuando usted se encuentra frente a la Mesa de Ayuda y les dice que olvidó su contraseña y que ahora está bloqueado de su cuenta. Luego, el personal de TI confirma que es usted y restablece su contraseña.

Ahora, suponga que no había ningún administrador de dominio disponible cuando fue allí, y tuvo que ir después de explicar su problema a su interno. Luego, el interno estaría garantizando que la solicitud de cambio de contraseña provino de Lasagna y no de un impostor.

Otro caso común sería que dichas solicitudes tienen que pasar por un sistema de emisión de boletos. Dado que no puede abrir un boleto mientras está bloqueado, otro usuario (por ejemplo, su jefe o cualquier empleado) abre la solicitud por usted, por lo que están confirmando su solicitud.

De hecho, es bastante común en la seguridad física que un organizador tenga que salir para responder a alguien que está detenido por la seguridad que intenta ingresar a la ubicación.

  

Si alguien está bloqueado de su cuenta tanto que no puede usar su correo electrónico, o incluso el correo electrónico de respaldo para su correo electrónico principal, entonces, ¿cómo se restablecerá su contraseña para comenzar? ¿Podría ser entregado por esta "fuente confiable" a otro correo electrónico, o posiblemente por teléfono / texto (si es amigo)?

La confianza podría proporcionar un nuevo correo electrónico. Y sí, suponiendo que la solicitud sea genuina, se le podría dar la nueva contraseña temporal. La contraseña debe estar marcada como que requiere un cambio en el próximo inicio de sesión, de todos modos.

Diría que porque permite un aumento masivo del daño potencial si una cuenta es hackeada.

Di que quiero entrar en la cuenta A . Si la cuenta A configura la cuenta B , C , y D en la garantía de ellos, tengo 3 objetivos potenciales más de los que podría intentar acceder. Uno de ellos está obligado a tener una contraseña débil o es susceptible a la ingeniería social. Ahora que tengo acceso a la cuenta C , puedo acceder a cualquier cuenta en la que la cuenta C se configuró en "garantía" como si estuviera bloqueado. Desde esas cuentas, puedo seguir adelante y adelante para todas las cuentas que las configuren como ellas como garantizadas.

Hay algunas medidas de seguridad que se pueden implementar, como requerir que un cierto número o más de esas "cuentas que se pueden anular" para responder por usted puedan hacer que esto sea más seguro.