Imagino que ya sabréis que la manera más fácil de hackear (un verbo que puede quedar grande para estas cosas) una cuenta de correo es mediante su «pregunta secreta». Un sistema de validación humana y de seguridad que aporta muy pocas ventajas para el usuario y, como digo, muchas facilidades al que realiza el ataque a poco que conozca a su vÃctima. Los niveles más bajos de la ingenierÃa social.
Si hacemos una búsqueda con la cadena de texto «recuperar contraseña» vemos que casi todos los resultados hacen referencia a MSN o Hotmail, los reyes del mambo en esto de las preguntas. Hasta el propio buscador sugiere filtrar resultados añadiendo esos gestores de webmail. Lamentablemente los resultados que devuelven son hilos de foros de casos concretos en lugar de las páginas de los propios gestores como MSN o Gmail. Estos segundos lo hacen mejor, esperan un dÃa para presentarte la opción de la pregunta secreta, de forma que si consultas el correo a diario no te lo pueden levantar. Pero en mi pequeña investigación son los que más me han hecho flipar.
Las estúpidas preguntas de Gmail
Digo que son estúpidas porque, para empezar, no son preguntas secretas (la pregunta es «pública»), lo que debe ocultarse es la respuesta. Y, sobre todo, por las que tiene de serie:
Habéis leÃdo, ¿no? El número de vuelo más frecuente o el nombre del primer profesor. No sé para qué clase de usuario (cliente a los ojos de Google) pensaron cuando se les ocurrió, hasta donde tengo entendido el número de vuelo cambia cada cierto tiempo, excepto el ochocientos y algo de Oceanic, que lleva años igual. No sé, de verdad que no lo sé, a lo mejor en Estados Unidos es normal. La del profesor es todavÃa peor, yo, hasta en preescolar, tenÃa varios profesores, siendo más correcto, profesoras. Pero no uno sólo. De esta forma la única opción lógica (y también la única recomendable) es la de escribir por uno mismo la pregunta. Las de Hotmail son más comunes, tu restaurante favorito o el nombre de un familiar, ambas fácilmente juanqueables.
No se pueden proponer cosas mejores tan a la ligera ya que si dejamos como única opción el enviar un enlace de reactivación a una cuenta asociada pecamos del mal de ING, que es que te obliga a tener anteriormente un producto similar, si la cuenta de correo anterior (tu otra cuenta y cada dÃa la de más gente) no existe y al irla a crear nos encontramos con que estamos obligados a facilitar una tercera dirección donde poder enviar la URL de reactivación, mal vamos. El cÃrculo se cierra para las personas que nunca hayan tenido una cuenta de correo. ¿Qué hacemos, montar un servicio técnico que te llame por teléfono para cambiar la contraseña? ¿Uno al que llamemos nosotros? No merece la pena. Cada vez que alguien no pudiese entrar colapsarÃa a toda una planta de hindúes con pinganillo.
Ciencia ficción, Access granted
Se me ocurre una especie de seguridad biométrica a distancia, ahora puedes comprar un lector de huella digital por USB por poco dinero pero la gente no le encuentra uso. Pues sencillo, que se ofrezca como opción la de subir un fichero (en el formato que corresponda, no controlo de eso) con los datos de las facciones de la cara, las venas de la mano, la huella digital o algo asà a la hora de crear un cuenta, de forma que cuando no puedas acceder, pretendas cambiar de contraseña o cualquier picia te solicite volver a subir esos datos. Si obligamos a que la persona esté fÃsicamente presente cuando se quiera cambiar algo -cosa que no consiguen las preguntas- ya ganamos unos puntos. Se pueden montar hasta chiringuitos 2.0 que centralicen estas cosas en la nube, como un tractor amarillo, es lo que se lleva ahora, un OpenID decente. ¿Qué pasa cuando nos olvidamos de la contraseña y no disponemos de un lector biométrico? Volvemos al punto de «por USB» y recordamos los precios tan bajos de los portátiles. Que tanto DNI electrónico y tanta pollada, pero para algunas cosas funcionamos con palos y piedras.
Visto en: Y mañana, «Me cago en los putos captchas».
