Pregunta de seguridad

Una pregunta de seguridad es una forma de secreto compartido ^{[ 1 ]} que se utiliza como autenticador . Es comúnmente utilizada por bancos , compañías de cable y proveedores de servicios inalámbricos como una capa de seguridad adicional .

Las instituciones financieras han utilizado preguntas para autenticar a los clientes al menos desde principios del siglo XX. En un discurso pronunciado en 1906 en una reunión de una sección de la Asociación de Banqueros Estadounidenses , el banquero de Baltimore William M. Hayden describió el uso que su institución hacía de las preguntas de seguridad como complemento a los registros de firmas de los clientes . Describió las tarjetas de firmas utilizadas para abrir nuevas cuentas , que tenían espacios para el lugar de nacimiento del cliente, su "residencia", el apellido de soltera de la madre, su ocupación y su edad. ^{[ 2 ]}

Hayden señaló que algunos de estos campos a menudo se dejaban en blanco y que la información de "residencia" se utilizaba principalmente para contactar al cliente, pero el apellido de soltera de la madre era útil como una "prueba sólida de identidad". Aunque observó que era raro que alguien ajeno a la familia del cliente intentara retirar dinero de su cuenta, afirmó que el apellido de soltera de la madre era útil para la verificación porque rara vez se conocía fuera de la familia y que incluso las personas que abrían las cuentas "a menudo no estaban preparadas para esta pregunta". ^{[ 2 ]} De manera similar, en la práctica actual, un proveedor de tarjetas de crédito podría solicitar el apellido de soltera de la madre del cliente antes de emitir una tarjeta de reemplazo por una tarjeta perdida. ^{[ 1 ]}

En la década de 2000, las preguntas de seguridad se generalizaron en Internet . ^{[ 1 ]} Como una forma de restablecimiento de contraseña de autoservicio , las preguntas de seguridad han reducido los costos de los servicios de asistencia técnica de TI . ^{[ 1 ]} Al permitir el uso de preguntas de seguridad en línea , se vuelven vulnerables al registro de pulsaciones de teclas y a los ataques de fuerza bruta , ^{[ 3 ]} así como al phishing . ^{[ 4 ]} Además, mientras que un representante humano de servicio al cliente puede manejar adecuadamente las respuestas de seguridad inexactas, las computadoras son menos hábiles . Por lo tanto, los usuarios deben recordar la ortografía exacta y, a veces, incluso las mayúsculas y minúsculas de las respuestas que proporcionan, lo que plantea la amenaza de que se escriban más respuestas, exponiéndolas al robo físico.

Debido a la omnipresencia de las redes sociales, muchas de las preguntas de seguridad tradicionales ya no son útiles ni seguras. Una pregunta de seguridad es simplemente otra forma de mecanismo de contraseña. Por lo tanto, no debe compartirse con nadie ni incluir información fácilmente accesible en las redes sociales, sino que debe ser sencilla, fácil de recordar, difícil de adivinar y constante a lo largo del tiempo. Consciente de que no todas las preguntas funcionarán para todos, RSA (un proveedor estadounidense de seguridad de redes, división de EMC Corporation) ofrece a los bancos 150 preguntas para elegir. ^{[ 1 ]}

Muchos han cuestionado la utilidad de las preguntas de seguridad. ^{[ 5 ] [ 6 ] [ 7 ]} El especialista en seguridad Bruce Schneier señala que, dado que son información pública sobre una persona, son más fáciles de adivinar para los hackers que las contraseñas. Los usuarios que saben esto crean respuestas falsas a las preguntas y luego las olvidan, lo que anula el propósito y genera una inconveniencia que no justifica la inversión. ^{[ 8 ]}

• Contraseña cognitiva
• Autenticación basada en el conocimiento
• Cansancio de contraseñas