Castigar a los usuarios por contraseñas inseguras [cerrado]

13

Estoy pensando en limitar los derechos de los usuarios que eligen contraseñas inseguras (la inseguridad de una contraseña se determina por la longitud, cuántos tipos de caracteres (mayúsculas / minúsculas, números, símbolos, etc.) se utilizan y si se puede ubicar en una tabla de arco iris) para limitar la cantidad de daño que puede hacer su cuenta si se compromete.

Todavía no tengo una aplicación para esta idea, pero digamos que estoy escribiendo un foro o algo así: los usuarios que usan 1234 como contraseña podrían tener que completar un captcha antes de publicar, o estar sujetos a estrictas normas de privacidad. Las medidas de spam como los tiempos de espera o los filtros bayesianos rechazan su contenido. Si este foro es muy jerárquico, permitiendo la "promoción" a los moderadores o lo que sea por algún medio, esto evitará que ganen privilegios o les diga que tienen privilegios, pero no les permite ejercerlos sin un cambio para un cambio más seguro. contraseña.

Por supuesto, esta no podría ser la única medida de seguridad, pero podría ir bien al lado de buenas prácticas de seguridad.

¿Qué piensas? ¿Se trata de una exageración, lo que le quita el enfoque a prácticas de seguridad más importantes, o es una buena manera de limitar los riesgos y animar a los usuarios a usar contraseñas más seguras (y con suerte convencer a las personas de que están usando buenas prácticas de seguridad)?

    
pregunta Carson Myers 12.07.2011 - 14:12

8 respuestas

35

YAGNI , KISS , DRY , la regla de 10 segundos y el hecho de que " [u] sers no se preocupan por USTED " probablemente debería reducirlo a una solución: No.

  • Es más trabajo de desarrollo que necesitaría una gran cantidad de pruebas para ser confiable y seguro.
  • Probablemente reduce la seguridad del sitio de cualquier manera que lo veas. La posibilidad de que algún error lleve a una escalada de privilegios con una contraseña terrible es demasiado grande.
  • Aumenta la complejidad para el desarrollador, probador, mantenedor, DBA, administrador de sistemas y usuario.
  • A mayor complejidad, más difícil es evitar repetirse de alguna manera.
  • Los usuarios no tienen la capacidad de atención para leer su información y hacer un seguimiento de ella. Se utilizan para ajustar el formulario de registro hasta que acepte la entrada, no hasta que alcancen un nivel ideal.
  • A los usuarios no les importa.
respondido por el l0b0 12.07.2011 - 14:53
13

Obligue una contraseña segura al cambiar el registro, o usa un OpenId (2c de Jeff Atwood: enlace ). Luego concéntrate en una funcionalidad más interesante.

Por un lado, los usuarios están acostumbrados a ser forzados a crear contraseñas seguras o usar su OpenId, por lo que es simple para ellos.

    
respondido por el StuperUser 12.07.2011 - 14:22
12

¿Por qué permitir que las contraseñas que usted considera malas en primer lugar? Detener el problema en la fuente le ahorrará mucho tiempo de diseño al tratar de averiguar qué clases de contraseñas se asignan a qué roles. Como un administrador, por definición, tendría todos los derechos, ya necesitaría una funcionalidad para asegurarse de que no ingrese una contraseña que lo restringiría.

Mi respuesta realmente se reduce a KISS .

    
respondido por el unholysampler 12.07.2011 - 14:19
7

Como usuario, eso probablemente me convencerá de no usar su sitio. Quiero decir, en serio, mi banco me dice que un código de 6 dígitos es perfectamente seguro para la banca en línea, pero cuando quiero escribir un comentario en un blog menos conocido, debo recordar una contraseña única que contiene al menos 8 letras superiores. - y caracteres en minúscula, un dígito, un carácter especial y un símbolo griego o cirílico que solo se pueden ingresar si se conoce la secuencia de Unicode de memoria. Y cambiarlo regularmente.

No me malinterpretes, la seguridad es importante. Pero si no debe molestar a sus usuarios a menos que tenga una razón realmente sólida para creer que alguien intentará descifrar sus contraseñas para obtener acceso a su sitio. Si su sitio proporciona acceso VPN a la red del FBI, adelante, moleste. Pero si se trata de un foro de usuarios donde cualquiera con una dirección de correo electrónico puede registrarse, ¿qué sentido tiene realmente?

    
respondido por el nikie 12.07.2011 - 15:15
6

Mejor solución: caras sonrientes.

¡Lo digo en serio! Leer libros de economía del comportamiento como "Nudge: Mejorar las decisiones sobre salud, riqueza y felicidad" me había convencido de algunas cosas:

  1. No puedes obligar a todos a tomar decisiones sabias.
  2. A las personas les gusta ser libres para elegir, pero no les gustan muchas opciones.
  3. Sin embargo, puedes influir significativamente en sus elecciones para mejorar con trucos simples.

Veo que estos principios se aplican a tu situación de esta manera:

  1. Lo más probable es que restringir y confundir a los usuarios basados en contraseñas inseguras ... especialmente para la mayoría de las personas que no leen las explicaciones escritas cuidadosamente en los cuadros de diálogo, y simplemente llame al servicio de asistencia para decir: no funciona. "
  2. Al crear contraseñas, los usuarios no necesitan ver una lista de todas las posibilidades de los caracteres especiales y los que pueden usar. Es mejor mostrarles una pequeña ventana emergente, lo que sugiere que agregan algo de complejidad solo si su entrada no cumple con los requisitos.
  3. Las personas están fuertemente influenciadas por las señales sociales, incluso los más pequeños, como las caras felices que muestran que aprobamos su comportamiento, o las caras malintencionadas si no lo hacemos. Algunos de los sitios web mejor diseñados mostrarán una barra de progreso de color que cambia de rojo para No es lo suficientemente bueno :( a verde para ¡Buen trabajo! :) a medida que el usuario escribe Su (propuesta) contraseña y confirmación. Esta IU les da cierta presión social para cumplir con los estándares, para que la barra se ponga verde o para que el ceño se convierta en una sonrisa, mientras descubren por sí mismos cómo crear contraseñas más seguras con la ayuda de los comentarios inmediatos del cambios de color.
respondido por el ewall 12.07.2011 - 18:24
4

No para acumular, pero pensé en otra razón para archivar esto en "Mala idea" que no he visto mencionada todavía: atención al cliente.

Si este es un producto que tendrá representantes de atención al cliente, no les va a gustar mucho. Una de las suposiciones subyacentes del soporte es que comprenden y pueden predecir la experiencia del usuario; si asisten a un usuario regular, la página 1 debe tener enlaces a las páginas 2, 3 y 4, donde pueden hacer X, Y, Z , etc.

Ahora, les estás dando otra variable de la que tienen que estar al tanto. Si el usuario no ve el enlace a la página 4, ¿es porque hicieron algo estúpido? ¿O es porque su contraseña apesta y su sistema los está castigando negándoles el acceso a la página 4? Espere ... mierda, ¿está denegando el acceso a uno de los castigos por una contraseña incorrecta, o estoy pensando en la página 5? Déjeme ver eso, solo un momento ... está bien, dice que para una contraseña que no mezcle mayúsculas y minúsculas, se permite el acceso a páginas pares pero está restringido a solo lectura ... está bien, señor, su contraseña, ¿consta de mayúsculas o minúsculas? Caso. Cuando solo escribes la letra, es minúscula; Cuando usas shift, es cuando está en mayúsculas. ¿Mezclaste los casos en tu contraseña? La contraseña que utilizó para iniciar sesión en el sistema. El que acabas de usar. Bien, vaya a Editar, luego seleccione Preferencias, luego Seguridad. Seleccione "Contraseñas guardadas" ... no, señor, no puedo ver sus contraseñas desde aquí ...

Sí. No hagas esto.

    
respondido por el BlairHippo 12.07.2011 - 16:58
2

Restrinja las contraseñas o informe a los usuarios de los riesgos de las contraseñas débiles. Supongo que si a un usuario no le importan sus datos, es posible que desee restringir el acceso a otros. Tal vez los usuarios se sientan más seguros si los que siguen prácticas de contraseña descuidadas son eliminados. ¿Cuál es el punto de requerir una contraseña más segura si va a terminar con una nota adhesiva debajo del teclado o pegada a la computadora portátil?     

respondido por el JeffO 12.07.2011 - 16:31
2
  

y si se puede ubicar en una tabla de arco iris

Supongo que te refieres al diccionario y no a la tabla del arco iris. El ataque del diccionario funciona solo probando todas las palabras del diccionario si coinciden con la contraseña. Este ataque puede solucionarse mediante 5 intentos y bloqueo durante x minutos ...

Una tabla de arco iris solo se utilizará si hash la contraseña y el atacante conoce el hash. De lo que podría ser capaz de encontrar el hash en la tabla del arco iris si solo fuera "12345" o algo similar.

Solo para completar el viaje de ida y vuelta: para que una tabla arcoíris sea inútil, debe agregar las contraseñas. Y use una sal unqiue para cada contraseña y no solo una para todos. Si lo hace, el atacante debe crear una tabla de arco iris con la sal única para cada cuenta a la que desea acceder. Inteligente a su lado, puede condimentar el hashing con el algoritmo de hash múltiple de concatenación para que una generación pueda tomar medio segundo. Si ha hecho esto, acceder a una cuenta en su sitio web debe valer días, probablemente un mes para generar hashes para encontrar una coincidencia con esta cuenta ... No puedo pensar en un atacante que intentará obtener todas las contraseñas cuando lo haga. toma ese tiempo.

Para el momento del hashing: Piense en un tiempo de espera de 500 ms para un mecanismo de inicio de sesión. Creo que es aceptable ... (un recordatorio: casi un segundo hace un apretón de manos para SSL)

    
respondido por el WarrenFaith 12.07.2011 - 16:46

Lea otras preguntas en las etiquetas