La contraseña de autoservicio reinicializada

El reinicio de la contraseña de autoservicio se define como cualquier proceso o tecnología que permite a usuarios que han olvidado o su contraseña o han provocado un bloqueo del intruso para certificar con un factor alterno y reparar su propio problema, sin llamar el punto de ayuda. Es un rasgo común en el software de la dirección de identidad y a menudo atado en un fardo en el mismo paquete de software que una capacidad de sincronización de la contraseña.

Típicamente los usuarios que han olvidado su contraseña lanzan una aplicación de autoservicio de una extensión a su entrada al sistema de la estación de trabajo pronta, usando su propio o el navegador web de otro usuario, o a través de una llamada telefónica. Los usuarios establecen su identidad, sin usar su contraseña olvidada o fuera de servicio, contestando una serie de preguntas personales, usando una señal de autenticación del hardware, respondiendo a un correo electrónico de la notificación de la contraseña o, menos a menudo, proporcionando una muestra biométrica. Los usuarios pueden especificar o entonces una contraseña nueva, abierta o pedir que al azar generado un se proporcionen.

El reinicio de la contraseña de autoservicio acelera la resolución del problema para usuarios "después del hecho," y así reduce el volumen de llamada del punto de ayuda. También puede ser usado para asegurar que los problemas de la contraseña sólo se resuelvan después de la autenticación del usuario adecuada, eliminando una debilidad importante de muchos puntos de ayuda: los ataques técnicos sociales, donde un intruso llama el punto de ayuda, pretenden ser el usuario de la víctima intencionado, afirma que ha olvidado su contraseña y pide una nueva contraseña.

Hay muchos productos de software disponibles para permitir que empleados autoreinicialicen contraseñas.

Vulnerabilidad

A pesar de las ventajas, un reinicio de la contraseña de autoservicio que confía únicamente en respuestas a preguntas personales puede introducir nuevo

vulnerabilidades, ya que las respuestas a tales preguntas a menudo pueden ser obtenidas por la ingeniería social, phishing técnicas o investigación simple. Mientras no se recuerda con frecuencia que los usuarios revelen nunca su contraseña, con menor probabilidad tratarán tan sensible las respuestas a muchas preguntas de seguridad comúnmente usadas, como nombres cariñosos, lugar de nacimiento o película favorita. La mayor parte de esta información puede estar en público disponible en las páginas de inicio personales de algunos usuarios. Otras respuestas pueden ser sacadas por alguien que pretende conducir una revisión de la opinión u ofreciendo un servicio de datación libre. Ya que muchas organizaciones tienen modos estándares de determinar nombres de acceso de verdaderos nombres, un atacante que sabe los nombres de varios empleados en tal organización pueden elegir la que cuyas respuestas de seguridad el más fácilmente se obtienen.

Esta vulnerabilidad no es estrictamente debido al reinicio de la contraseña de autoservicio — a menudo existe en el punto de ayuda antes del despliegue de la automatización. La tecnología del reinicio de la contraseña de autoservicio a menudo es usada para reducir este tipo de la vulnerabilidad, introduciendo factores de autenticación del visitante más fuertes que el punto de ayuda hecho funcionar por los humanos había estado usando antes del despliegue de la automatización.

En el septiembre de 2008, a la cuenta del correo electrónico de Yahoo de Gobernador en jefe de Alaska y Vicepresidente del candidato de los Estados Unidos Sarah Palin le tuvo acceso sin la autorización alguien que era capaz de investigar respuestas a dos de sus preguntas de seguridad, su código postal y fecha de nacimiento y era capaz de adivinar el tercer, donde la encontró husband.http://news.yahoo.com/s/ap/20080918/ap_on_el_pr/palin_hacked Este incidente claramente destacó esto la opción de preguntas de seguridad es muy importante para prevenir ataques técnicos sociales contra sistemas de la contraseña.

Autenticación basada en la preferencia

Jakobsson, Stolterman, Wetzel y Yang propusieron de usar preferencias para certificar a usuarios para

la contraseña reinicializada. Las perspicacias subyacentes son que las preferencias son estables durante un período largo del tiempo y en público no se registran. Su enfoque incluye dos fases---sistema y autenticación. Durante el sistema, a un usuario le piden seleccionar artículos que ellos como o aversión de varias categorías de artículos que dinámicamente se seleccionan de un grupo de candidatos grande y se presentan al usuario en un pedido arbitrario. Durante la fase de autenticación, a un usuario le piden clasificar sus preferencias (como o aversión) para los artículos seleccionados mostrados a él en un pedido arbitrario. Evaluaron la seguridad de su enfoque por experimentos del usuario, emulaciones del usuario y simulaciones del atacante.

Autenticación de dos factores

La autenticación de dos factores es una 'autenticación fuerte' método ya que añade otra capa de la seguridad al proceso del reinicio de la contraseña. En mayoría de los casos esto consiste en la Preferencia la Autenticación Basada más una segunda forma de la autenticación física (usando algo que el usuario posee - es decir Smartcards, señales de USB, etc.). Un método popular es a través de SMS y correo electrónico. El software SSRP avanzado requiere que el usuario proporcione un número de teléfono móvil o dirección de correo electrónico personal durante el juego-. En caso de una contraseña reinicializa un código del número personal de identificación se enviará a teléfono del usuario o correo electrónico y tendrán que entrar en este código durante el proceso del reinicio de la contraseña.

Accesibilidad

Un problema principal con el reinicio de la contraseña de autoservicio dentro de corporaciones y organizaciones similares permite a usuarios tener acceso al sistema si olvidaran su contraseña primaria. Ya que los sistemas de SSPR son típicamente basados en la web, un usuario debe lanzar un navegador web para fijar su problema — pero el usuario no puede registrar en su estación de trabajo hasta que el problema se solucione. Hay varios enfoques a la dirección a esta Cogida 22, todos de los cuales son compromisos (p.ej, despliegue del software de escritorio, cuenta del reinicio de la contraseña por toda la esfera, acceso telefónico, visitando a un vecino, siguiendo llamando el punto de ayuda, etc.).

Hay dos problemas adicionales relacionados con el que de usuarios bloqueados:

La opción que se atestigua

Junto con la autenticación basada en la preferencia, los procedimientos del reinicio de la contraseña de autoservicio también podrían confiar en la red de relaciones humanas existentes entre usuarios. En este guión, el usuario que olvidó su contraseña pide a un colega la ayuda. El colega del "ayudante" certifica con la aplicación del reinicio de la contraseña y se atestigua de la personalidad del usuario.

En este guión, el problema cambia de uno de certificar al usuario que olvidó su contraseña a uno del entendimiento que los usuarios deberían tener la capacidad de atestiguar de cual otros usuarios.

Enlaces externos



Buscar