На дворе 2025 год, и, несмотря на все наши менеджеры паролей и пароли, кража учетных записей в Интернете по-прежнему распространена. Один из способов защитить себя от этих атак — это давняя традиция лгать.
Что такое контрольные вопросы?
Контрольные вопросы — это форма MFA (многофакторной аутентификации), где после ввода пароля от вас также ожидается ответ на вопрос, который «знаете только вы». Это факты, такие как имя вашего первого питомца или город, в котором вы родились. Это одна из старейших форм MFA в Интернете благодаря своей простоте.
Несмотря на свой возраст и на то, что лучшие методы MFA вошли в мейнстрим, контрольные вопросы все еще распространены в Интернете. На самом деле, мне пришлось сделать важный аккаунт буквально на прошлой неделе, для чего потребовалось создать три разных контрольных вопроса. Ради собственной безопасности я не ответил на них правдиво.
Почему контрольные вопросы небезопасны
Хотя это и простой метод MFA, контрольные вопросы — это всего лишь слишком просто. Они слишком полагаются на ложную предпосылку: что на эти вопросы могу ответить только я. Многие знают, например, имя моей бабушки, данное ей при рождении. Оно есть в судебных записях, документах о происхождении, опубликованных некрологах и бог знает где еще.
Я заметил, что многие контрольные вопросы как бы предполагают, что вы не выросли с интернетом. Если у вас был интернет в молодости, блоги и социальные сети в частности, есть большая вероятность, что посты о вашем первом питомце все еще гуляют там. На самом деле, я точно знаю, где вы можете поискать в интернете ответы на такие вопросы обо мне.
Вы можете назвать это разведкой с открытым исходным кодом, часто сокращенно OSINT. Если вы много знаете об OSINT, то вы знаете, как легко найти интимные знания о ком-то в Интернете, используя простые инструменты.
Помимо рыскания по интернету, взломать контрольные вопросы так же просто, как просто поговорить со мной или кем-то из моих близких. Это называется социальной инженерией. Например, кто-то может выдать себя за авторитетное лицо, например, налогового агента, и попросить меня «подтвердить мою личность», ответив на вопрос, например, на имя моей бабушки при рождении. Чтобы не скомпрометировать свои контрольные вопросы, вам нужно постоянно быть начеку и не допускать подобных скрытных атак.
Но мы можем пойти еще дальше. Предположим, что вы и все, кто вас знает, разбираетесь в социальной инженерии. Вам также придется признать тот факт, что люди, которые вас знают, могут воспользоваться этим фактом. Спросите любого пострадавшего от насилия: то, что кто-то близок вам, не означает, что он заслуживает доверия. Предположение, что только кому-то достаточно близкому, чтобы знать ответы на ваши контрольные вопросы, можно доверять доступ к аккаунту, является еще одной ложной предпосылкой контрольных вопросов.
Лучший вариант для контрольных вопросов: ложь
Учитывая все это, я перестал отвечать на контрольные вопросы честно. Если меня заставляют использовать контрольный вопрос, чтобы защитить мой аккаунт от взлома, я отвечаю на него выдуманным и странным ответом. Где я родился? В Нарнии. Каким был мой первый питомец? Олень по имени Боб. Конечно, это не те ответы, которые я на самом деле использую, но вы поняли.
Некоторые люди идут дальше и не помещают ничего даже узнаваемого как слово в ответ на контрольный вопрос. Какое имя было у вашей бабушки при рождении? H41%hg67Vc0s5^jQ, возможно. Это было бы похоже на наличие второго надежного пароля, и это делает ваш контрольный вопрос устойчивым к атакам по словарю. Я не уверен, что это абсолютно необходимо, хотя, поскольку поставщик моих онлайн-аккаунтов, вероятно, заблокирует мой аккаунт, если кто-то попытается больше, чем несколько попыток угадать контрольный вопрос.
Теперь вы должны делайте что-либо из этого, если вы не полностью доверяете себе в запоминании ответов. Традиционные контрольные вопросы имеют одно большое преимущество: их легко запомнить. Ложь в контрольных вопросах лишает вас этого преимущества, потому что теперь вам придется запоминать неточные факты о себе.
Может быть, будет полезно записать эти ответы, возможно, в форме генеалогического древа или короткой истории, описывающей вымышленную жизнь. Если вы похожи на меня, то рисовать изображения этих вымышленных людей, мест и домашних животных тоже будет полезно.
Конечно, вы захотите убедиться, что все, что вы записываете, хранится в безопасном месте. Вы можете хранить их в своем менеджере паролей или, для дополнительной безопасности, в отдельном менеджере паролей. Важно то, что вы никогда не потеряете доступ к своей учетной записи, сохраняя при этом ее безопасность.
