Primero, esto existe en la práctica en una forma que no es muy segura: "preguntas de seguridad". La segunda contraseña es (si las preguntas de seguridad se usan según lo previsto) algo que es fácil de recordar, pero que otras personas conocen.
No hay ninguna razón de seguridad para no tener dos contraseñas: una para el uso diario y una (más larga, no memorable) para la recuperación. De hecho, esta es una práctica común en ciertos escenarios, tales como:
- Una configuración empresarial donde los documentos se cifran con las claves PGP de los usuarios, y también con una clave PGP empresarial cuya parte privada se guarda en una caja fuerte y se usa solo si no se puede encontrar un empleado para descifrar un documento.
- Los teléfonos móviles o las tarjetas SIM, que tienen un PUK (a menudo 8 dígitos aleatorios) que se pueden usar si el teléfono normal El PIN (elegido por el usuario, generalmente 4 dígitos) se ha olvidado (o más generalmente si el dispositivo se ha bloqueado debido a 3 intentos de PIN incorrectos).
La razón por la que esto no se hace para los sitios web es que hay muy poco sentido. Si un usuario desea tener una contraseña de recuperación en caso de que olvide su contraseña normal, ya puede hacerlo escribiendo su contraseña habitual. A diferencia del caso de la empresa anterior, donde las diferentes entidades mantienen la contraseña normal y la contraseña de recuperación (o clave), no hay diferencia en quién tiene las contraseñas.
Podría seguir el modelo de la tarjeta SIM y generar una contraseña larga y aleatoria que los usuarios podrían usar para la recuperación. Sin embargo, considere cómo comunicaría esa contraseña a los usuarios. Puede mostrarlo en el sitio, y luego la mayoría de los usuarios no le prestarán atención y, por lo tanto, no tendrán acceso a él cuando estén bloqueados. Puede enviarlo por correo electrónico, en cuyo caso no solo depende del correo electrónico, sino que (a diferencia de los enlaces temporales de restablecimiento de contraseñas, que son temporales), si alguna vez se infringe el correo electrónico, también lo es la cuenta, con efecto inmediato y sin necesidad. para que el atacante realice una excavación o realice cualquier acción en el sitio que se registraría.
Por lo tanto, si bien la contraseña dual puede funcionar, es un esfuerzo de implementación adicional y una superficie de ataque adicional para un beneficio muy moderado.
Además, la contraseña dual no eliminaría la necesidad del correo electrónico como método de recuperación. Si la segunda contraseña también se olvida, lo cual es probable en la práctica,
necesita la recuperación de correo electrónico.
Si elige permitir una segunda contraseña, no lo haga en forma de preguntas de seguridad: debilitan la seguridad, a menos que se combinen con otras formas de autenticación (e incluso entonces a menudo no funciona bien ). Y no espere que más de una pequeña fracción de usuarios lo utilicen de forma efectiva.