Utilizar simplemente una "pregunta secreta" para restablecer una contraseña olvidada es inseguro y debe ser evitado, así lo confirma Google en un estudio que publicado en su blog y también disponible formato pdf








 Muchos sitios todavía usan la pregunta secreta como una manera para que los usuarios accedan a su cuenta si se han olvidado los datos de acceso.

 El problema de la pregunta secreta es que los atacantes pueden intentar adivinar la respuesta y así restablecer la contraseña. Por lo tanto, un atacante con la pregunta secreta de los usuarios en inglés

Las respuesta fáciles no son seguras

No sorprende que las respuestas fácil de recordar son menos seguras. Respuestas fáciles a menudo contienen información comúnmente conocida o disponible al público, o se encuentran en un pequeño conjunto de posibles respuestas por razones culturales (es decir, un apellido común en algunos países). 

"¿Cuál es tu comida favorita" Hay un 19,7% de posibilidades de adivinar cuál es. La respuesta es "pizza".

Con diez intentos de un atacante 24% oportunidad a la pregunta

"¿Cuál es el nombre de su primer maestro" para responder a los usuarios de habla árabe.

Con el mismo número de intentos de un atacante 21% de probabilidad de la cuestión de los hispanohablantes,

"¿Cuál es el segundo nombre de su padre," para responder. En el caso de los coreanos realizar diez intentos de una tasa de éxito del 39% en la pregunta "¿qué ciudad naciste" y el 43% con la cuestión de lo que es la comida favorita.






El estudio también mostró que muchos usuarios tenían respuestas idénticas a las preguntas secretas que se cree que son correctos, tales como "¿cuál es su número de teléfono" y "¿cuál es su número de millas aéreas". En este caso se encontró que 37% de las personas daban la información intencionalmente mal completando la idea de que esto hace que la respuesta más difícil de adivinar.

La investigación, que Google cientos de millones de preguntas secretas y respuestas analizadas, también muestra que el 40% de los usuarios de habla Inglés la respuesta a la pregunta secreta ya no saben si tienen que llenar.


Según los investigadores, el estudio muestra que la pregunta secreta es realmente incapaz de restablecer las contraseñas y sitios web, así como los usuarios deben pensar cuidadosamente si quieren utilizar preguntas secretas. Google dice que la pregunta secreta no debe utilizarse como una forma independiente para restablecer contraseñas. Además, deben propietarios de sitios web utilizar otros métodos de autenticación, como los códigos de SMS o una segunda dirección de correo electrónico. "Eso es más seguro y más fácil de usar", concluye Elie Bursztein Google.

Fuente:
http://googleonlinesecurity.blogspot.com.es/2015/05/new-research-some-tough-questions-for.html