A levelező szolgáltatásokból vagy a közösségi oldalakról jól ismert kérdés-válasz rendszer nem igazán hatékony, esetenként pedig veszélyes módja az elfelejtett jelszavak helyreállításának – derül ki a Google egyik új tanulmányából, amelyet a cég munkatársai a napokban mutattak be a 2015-ös WWW konferencián. A megoldás elsőre kézenfekvőnek tűnik: ha valaki elfelejti a jelszavát, akkor egy meghatározott kérdésre adott személyes választ követően újra hozzáférhet az elérhetetlenné vált fiókjához. A sok millió felhasználói interakcióra épülő kutatás azonban igazolja, amit a legtöbben magunktól is feltételeztünk, vagyis azt, hogy a módszer több sebből vérzik.

Se nem biztonságos, se nem megbízható

A probléma ott kezdődik, hogy sokan nem jól emlékeznek a saját maguk által adott válaszokra. Ennek egyik oka, hogy nem egzakt kérdésekről van szó – tegye fel a kezét, aki fel tudja idézni, hogy nyolc hónappal ezelőtt mi volt a kedvenc étele. Másrészt vannak, akik hamis vagy megfejthetetlen válaszokkal próbálkoznak – az illetéktelenek valószínűleg sosem fogják kitalálni, hogy a kedvenc színem a hűtőszekrény, de később én magam sem fogok emlékezni rá. Vannak persze könnyen észben tartható kérdés-válasz kombinációk is, csakhogy azok jó részt olyan adatokra épülnek, amelyeket már a nevünk alapján is nagyon könnyen ki lehet kutatni.

A Google anyagából kiderül, hogy a jelszó-emlékeztető földrajzi és kulturáis szempontból sem működik mindenhol egyformán, ami nagyban megnöveli a statisztikai alapon végrehajtott támadások hatékonyságát. A dél-koreaiak 40 százalékának szülővárosát például már 10 próbálkozásból el lehet találni, és még ennél is valamivel jobb eséllyel tippelhetjük meg a kedvenc ételüket – ez praktikusan azt jelenti, hogy egy "Seoul" válasz nagyjából annyi biztonságot ad, mint egy sima "1234" belépési jelszó. Ugyanígy a spanyol anyanyelvűeknél 10 próbálkozásból 21 százalék esélyünk van, hogy megválaszoljuk az "Apám középső neve" kérdést, az arab nyelvterületen pedig 24 százalékkal indulunk az "Első tanárom neve" emlékeztetőnél.

Az is jellemző, hogy az emlékeztetőt igénybe vevők csak ötből négyszer találják el a saját szülővárosukat – valószínűleg pont azért, mert annak idején valami trükkös válasszal próbálták megnehezíteni a támadók dolgát. Ilyesmivel egyébként a felhasználók 37 százaléka próbálkozik, de a Google adatai alapján a elég gyakran visszafelé sül el. Csakúgy, mint a biztonságos, de bonyolult kérdések: a dokumentum szerint akármennyire lehetetlen megtippelni valakinek a törzsutas-számát, ezt a felhasználók maguk is csak 9 százalékban tudják nagy hirtelenjében megadni.

Azért a felhasználó is odafigyelhetne

A kutatók szerint tehát a jelszó-emlékeztető két szempontból is haszontalan: a könnyebb válaszokat egy külső fél is könnyebben kitalálja, míg a nehezebb válaszokra mi magunk is nehezebben emlékszünk vissza. (Ez utóbbi különösen igaz, ha valaki több kérdés kombinációjával igyekszik növelni a biztonságát.) Ahogy a Google is megállapítja, a titkos kérdések hozzáadhatnak ugyan egy extra biztonsági réteget más azonosítási módszerekhez, de önmagukban nem lenne szabad használni őket a többi, jobban bevált megoldás helyett.

Az SMS-ben küldött back-up kódok vagy a másodlagos címre eljuttatott visszaigazoló emailek kézenfekvő megoldást jelentenek, ezek azonban többe is kerülnek a szolgáltatónak. Tény, hogy a kérdés-válasz emlékeztető a legolcsóbb megoldás az összes közül – egészen addig, amíg valaki fel nem töri.

A Top Tech News által megszólaltatott biztonsági szakértő szerint a felhasználók is hibásak az elfelejtett vagy gyenge jelszavakért. A szakember azt javasolja, hogy találjunk magunknak valami nagyon egyedi, mégis könnyen megjegyezhető kódot, amit képezhetünk például egy bizonyos vers szavainak harmadik betűiből. Ebben az esetben nem kell megjegyeznünk valami összefüggéstelen krikszkrakszot, mert ha tudjuk, mi volt az aktuális vers és mi volt a mindig érvényes szabály, bármikor újra generálhatjuk magunknak az elfelejtett jelszót.

Ugyanígy igaz, hogy egy hosszú, de értelmes jelszó (mondjuk a vers első sora egyben) már önmagában is biztonságosabb, mint egy véletlenszerű, de sokkal rövidebb karaktersor. Értelmes trükköket persze a titkos kérdésre alapuló jelszó-emlékeztetőnél is kitalálhatunk, anélkül, hogy később kitolnánk magunkkal. A szándékosan hamis válaszok helyett például meg lehet adni a jó választ, csak éppen visszafelé írva. Ha nincs is feltörhetetlen jelszó, a támadók dolgát meg lehet annyira nehezíteni, hogy egyszerűen ne érje meg nekik a befektetett idő és energia, a statisztikai alapú támadások pedig alapból lepattanjanak a fiókunkról.