Самостоятельный сброс пароля - Self-service password reset

Для получения информации о сбросе пароля в Википедии см. Помощь: сбросить пароль.

Самостоятельный сброс пароля (SSPR) определяется как любой процесс или технология, которые позволяют пользователям, которые либо забыли свои пароль или инициировали блокировку злоумышленника для аутентификации с использованием альтернативного фактора и устранения своей проблемы без обращения в службу поддержки. Это общая черта в управление идентификацией программное обеспечение и часто входит в тот же программный пакет, что и синхронизация паролей возможности.

Обычно пользователи, которые забыли свой пароль, запускают приложение самообслуживания с добавочного номера на запрос входа на свою рабочую станцию, используя свой веб-браузер или веб-браузер другого пользователя, или по телефону. Пользователи установить их личность, без использования забытого или заблокированного пароля, ответив на серию личных вопросов, используя токен аппаратной аутентификации, отвечая на электронное письмо с уведомлением или, реже, предоставив биометрический образец, такой как распознавание голоса. Затем пользователи могут либо указать новый разблокированный пароль, либо попросить предоставить случайно сгенерированный пароль.

Самостоятельный сброс пароля ускоряет решение проблемы для пользователей «постфактум» и, таким образом, снижает количество обращений в службу поддержки. Его также можно использовать для решения проблем с паролями только после соответствующей аутентификации пользователя, что устраняет важную слабость многих служб поддержки: социальная инженерия атаки, когда злоумышленник звонит в службу поддержки, притворяется предполагаемым пользователем-жертвой, утверждает, что забыл пароль учетной записи, и запрашивает новый пароль.

Многофакторная аутентификация

Вместо того, чтобы просто просить пользователей ответить на вопросы безопасности, современные системы сброса паролей могут также использовать последовательность шагов аутентификации:

  • Попросите пользователей заполнить CAPTCHA, чтобы продемонстрировать, что они люди.
  • Попросите пользователей ввести PIN-код, который будет отправлен на их личный адрес электронной почты или мобильный телефон.
  • Требовать использования другой технологии, например токена одноразового пароля.
  • Используйте биометрические данные, например голосовую печать.
  • An аутентификатор, Такие как Google Authenticator или SMS-код.

Безопасность аутентификации пользователей, просто задавая вопросы безопасности

Несмотря на преимущества, самостоятельный сброс пароля, основанный исключительно на ответах на личные вопросы, может создать новые уязвимости,[1][2] поскольку ответы на такие вопросы часто можно получить с помощью социальной инженерии, фишинг техники или простое исследование. Хотя пользователям часто напоминают никогда не раскрывать свой пароль, они с меньшей вероятностью будут рассматривать как конфиденциальные ответы на многие часто используемые вопросы безопасности, такие как имена домашних животных, место рождения или любимый фильм. Большая часть этой информации может быть общедоступной на личных домашних страницах некоторых пользователей. Другие ответы можно получить, если якобы проводит опрос общественного мнения или предлагает бесплатную службу знакомств. Поскольку у многих организаций есть стандартные способы определения авторизоваться имена от реальных имен, злоумышленник, который знает имена нескольких сотрудников такой организации, может выбрать того, чьи ответы на вопросы безопасности получить легче всего.

Эта уязвимость возникает не только из-за самостоятельного сброса пароля - она ​​часто существует в службе поддержки до развертывания автоматизации. Технология самообслуживания для сброса пароля часто используется для уменьшения этого типа уязвимости путем введения более сильных факторов аутентификации вызывающего абонента, чем служба поддержки, управляемая человеком, использовалась до развертывания автоматизации.

В сентябре 2008 г. Yahoo адрес электронной почты Губернатор Аляски и Вице-президент США кандидат Сара Пэйлин был доступ без авторизации кем-то, кто смог найти ответы на два ее секретных вопроса, ее почтовый индекс и дату рождения, а также угадал на третий вопрос, где она встретила своего мужа.[3] Этот инцидент ясно показал, что выбор вопросов безопасности очень важен для предотвращения социальная инженерия атаки на парольные системы.

Аутентификация на основе предпочтений

Якобссон, Столтерман, Ветцель и Ян предложили использовать настройки для аутентификации пользователей при сбросе пароля.[4][5] Основная идея заключается в том, что предпочтения стабильны в течение длительного периода времени,[6] и публично не записываются. Их подход включает два этапа ---настраивать и аутентификация. Во время настройки пользователя просят выбрать элементы, которые ему нравятся или не нравятся, из нескольких категорий элементов, которые динамически выбираются из большого набора кандидатов и представляются пользователю в случайном порядке. На этапе аутентификации пользователей просят классифицировать свои предпочтения (нравится или не нравится) для выбранных элементов, отображаемых им в случайном порядке. Якобссон, Столтерман, Ветцель и Янг оценили безопасность своего подхода с помощью пользовательских экспериментов, пользовательских эмуляций и моделирования злоумышленников.

Двухфакторная аутентификация

Двухфакторная аутентификация - это метод «строгой аутентификации», поскольку он добавляет еще один уровень безопасности к процессу сброса пароля. В большинстве случаев это включает аутентификацию на основе предпочтений плюс вторую форму физической аутентификации (с использованием того, что есть у пользователя, например смарт-карт, USB-токенов и т. Д.). Один из популярных способов - через SMS и электронную почту. Программное обеспечение Advanced SSPR требует, чтобы пользователь во время настройки указал номер мобильного телефона или личный адрес электронной почты. В случае сброса пароля на телефон или электронную почту пользователя будет отправлен PIN-код, и ему необходимо будет ввести этот код во время процесса сброса пароля. Современные технологии также позволяют осуществлять аутентификацию с помощью голосовой биометрии с использованием технологии распознавания голоса.[7]

Доступность

Основная проблема с самообслуживанием сброса пароля внутри корпораций и аналогичных организаций заключается в том, что пользователи могут получить доступ к системе, если они забыли свой основной пароль. Поскольку системы SSPR обычно основаны на сети, пользователям необходимо запустить веб-браузер, чтобы решить проблему, но они не могут войти на рабочую станцию, пока проблема не будет решена. Существуют различные подходы к решению этой уловки-22, большинство из которых являются компромиссами (например, развертывание программного обеспечения для настольных компьютеров, учетная запись для сброса пароля на уровне домена, доступ по телефону, посещение соседа, продолжение звонков в службу поддержки и т. Некоторые компании создали программное обеспечение, которое представляет ограниченный веб-браузер на экране входа в систему с единственной возможностью доступа к странице сброса пароля без входа в систему; пример этого Novell технология расширения входа в систему для клиентов. Поскольку эти технологии эффективно предоставляют пользователю доступ к ресурсам компьютера, в частности к веб-браузеру, для сброса паролей без аутентификации на компьютере, безопасность имеет высокий приоритет, а возможности очень ограничены, поэтому пользователь не может делать больше, чем ожидается в этом режиме.

Есть две дополнительные проблемы, связанные с проблемой заблокированных пользователей:

  • Мобильные пользователи, физически удаленные от корпоративной сети, забывшие пароль для входа на свой компьютер.
  • Пароли, кэшированные операционной системой или браузером, которые могут по-прежнему предлагаться серверам после изменения пароля, инициированного на другом компьютере (справочная служба, веб-сервер управления паролями и т. Д.) И, следовательно, запускают блокировку злоумышленника.

Вариант поручения

В сочетании с аутентификацией на основе предпочтений процедуры самообслуживания для сброса пароля могут также полагаться на сеть существующих человеческих отношений между пользователями. В этом случае пользователь, забывший пароль, обращается за помощью к коллеге. Коллега-помощник проходит аутентификацию с помощью приложения для сброса пароля и подтверждает личность пользователя.[8][9]

В этом сценарии проблема меняется с аутентификации пользователя, который забыл пароль, на проблему понимания того, какие пользователи должны иметь возможность поручиться за каких других пользователей.

Рекомендации

  1. ^ Гриффит, Верджил (2005). Беспорядок с Техасом, получение девичьей фамилии матери с использованием публичных записей (PDF). Конспект лекций по информатике. 3531. С. 91–103. Дои:10.1007/11496137_7. ISBN  978-3-540-26223-7.
  2. ^ Рабкин, Ариэль (2008). "Вопросы о личных знаниях для резервной аутентификации" (PDF). Вопросы о личных знаниях для резервной аутентификации: контрольные вопросы в эпоху Facebook. п. 13. Дои:10.1145/1408664.1408667. ISBN  9781605582764.
  3. ^ «Хакер выдал себя за Пэйлин, украл пароль электронной почты». 18 сентября 2008 г. Архивировано с оригинал 2 октября 2008 г.
  4. ^ Якобссон, Маркус; и другие. (2008). «Любовь и аутентичность» (PDF). Материалы двадцать шестой ежегодной конференции ОМС по человеческому фактору в вычислительных системах - CHI '08. п. 197. CiteSeerX  10.1.1.145.6934. Дои:10.1145/1357054.1357087. ISBN  9781605580111.
  5. ^ Якобссон, Маркус; и другие. (2008). «Количественная оценка безопасности аутентификации на основе предпочтений» (PDF). Материалы 4-го семинара ACM по управлению цифровой идентификацией - DIM '08. п. 61. CiteSeerX  10.1.1.150.7577. Дои:10.1145/1456424.1456435. ISBN  9781605582948.
  6. ^ Кроуфорд, Дуэйн; и другие. (1986). «Стабильность досуговых предпочтений». Журнал исследований досуга. 18 (2): 96–115. Дои:10.1080/00222216.1986.11969649.
  7. ^ Решения для вывода (2015). «Архивная копия». Архивировано из оригинал на 2016-03-05. Получено 2015-05-20.CS1 maint: заархивированная копия как заголовок (связь)
  8. ^ Финетти, Марио. «Самостоятельный сброс пароля в крупных организациях».
  9. ^ RSA Laboratories (2006). «Четвертая аутентификация» (PDF). Четвертая аутентификация: кто-то, кого вы знаете. п. 168. Дои:10.1145/1180405.1180427. ISBN  978-1595935182.

внешняя ссылка