Системы восстановления пароля ― удобство или брешь?

Используя методы социальной инженерии, исследователи из Positive Technologies получили доступ к трем из пяти популярных веб-сервисов через процедуру восстановления пароля.

Проверка этого звена в системе безопасности проводилась на основе выборки из реальных почтовых аккаунтов Gmail, Mail.ru, Яндекс, а также профилей ВКонтакте и Facebook. Их владельцы были заранее проинформированы об эксперименте и дали согласие на свое участие. Работая с разными механизмами восстановления пароля, эксперты вели поиск информации о владельце аккаунта на общедоступных сайтах, вступали в переписку со службой техподдержки целевого сервиса. В отдельных случаях им приходилось провоцировать «жертву» на раскрытие нужных данных, устанавливая с ней контакт в социальной сети. Каждый из рассмотренных сервисов получил оценку по двум параметрам: уровень защищенности и удобство для пользователя, и был впоследствии ознакомлен с результатами.

Как оказалось, для взлома учетных записей ВКонтакте и Gmail (а также прочих служб Google, привязанных к почтовым ящикам) через процедуру восстановления пароля вполне достаточно информации об их владельцах, выложенной в общий доступ в Сети. При этом специалисты службы поддержки обоих сервисов не обращают внимания на то, что запрос на восстановление пароля приходит с чужого IP-адреса. В случае с Mail.Ru исследователям пришлось добывать дополнительные данные, анонимно общаясь с владельцами аккаунтов через ВКонтакте.

Надежные механизмы защиты данных продемонстрировали Facebook и Яндекс. Последний тоже требует подробную информацию о почтовом ящике при восстановлении пароля, которую, впрочем, весьма легкомысленно предоставляют незнакомцам сами владельцы. Однако для завершения процедуры служба поддержки Яндекс требует, чтобы забывчивый пользователь явился в офис в определенные сроки ― и с паспортом. На Facebook, помимо привязки к email и номеру телефона, используется такая опция, как помощь друзей. Однако задействовать ее экспертам не удалось: доверенным другом в этой социальной сети считается пользователь с солидным стажем, активно поддерживающий отношения с доверителем. В целом возможности восстановления пароля на Facebook весьма ограничены. Если владелец профиля потерял доступ к почте и забыл ответ на секретный вопрос, ему рекомендуют зарегистрироваться заново.