Domande di sicurezza e recupero account: quando il design ti tradisce

Nella pillola sull'Insecure Design abbiamo visto che OWASP cita, come esempio ufficiale di design da eliminare, non correggere, proprio le domande di sicurezza per il recupero account. Qui vediamo perché, dal punto di vista di chi quelle domande le compila ogni giorno, spesso senza pensarci due volte.

1. Vietate per legge (quasi): cosa dice NIST

Non è un'opinione, è una linea guida ufficiale: il NIST Special Publication 800-63B, lo standard federale statunitense per l'identità digitale, dichiara esplicitamente che i sistemi non devono proporre agli utenti domande di sicurezza (KBA, knowledge based authentication) come metodo di verifica.

La motivazione ufficiale è precisa: queste domande si basano su informazioni private ma non segrete, un dato che magari non hai reso pubblico tu, ma che qualcun altro potrebbe conoscere o scoprire con poco sforzo. NIST aggiunge un altro problema pratico: le stesse risposte finiscono spesso riusate su più siti, quindi una fuga di dati da un servizio compromette anche gli altri.

Fonte: NIST Special Publication 800-63B: i verificatori non devono richiedere l'uso di knowledge based authentication o domande di sicurezza; questi «pre-registered knowledge token» sono stati ritirati perché si basano su informazioni private ma non segrete.

2. Un caso reale: come è bastata una ricerca

Il caso più documentato risale al 2008: durante la campagna elettorale statunitense, un ventenne riuscì ad accedere all'account email personale della candidata alla vicepresidenza Sarah Palin senza rompere nulla tecnicamente, semplicemente rispondendo alle sue domande di sicurezza.

Data di nascita e CAP li trovò su Wikipedia. La domanda più difficile, «dove hai conosciuto tuo marito?», la risolse con una ricerca sul web, trovando che la coppia si era conosciuta al liceo, e provando poi variazioni del nome della scuola finché una funzionò. Nessun exploit, nessun malware: solo ricerca pubblica di informazioni.

Fonte: l'accesso all'account Yahoo! di Sarah Palin nel 2008, documentato da fonti giornalistiche multiple, avvenne tramite il recupero password, rispondendo correttamente a data di nascita, CAP e la domanda sul luogo d'incontro col marito.

3. Oggi è più facile, non più difficile

Quello che nel 2008 richiedeva una ricerca mirata, oggi è spesso esposto attivamente da te stesso: il nome del primo animale domestico raccontato in un post nostalgico, la scuola frequentata nel tuo profilo professionale, la città natale nella tua biografia, il nome da nubile di tua madre taggato in una foto di famiglia. Questa raccolta sistematica di informazioni pubbliche ha un nome tecnico, OSINT (Open Source Intelligence), ed è esattamente lo stesso tipo di ricerca usata nel caso Palin, solo con molte più fonti disponibili oggi.

È come tenere la chiave di riserva di casa sotto lo zerbino, e poi pubblicare una foto dello zerbino sui social spiegando dov'è. Nessuno ha forzato la porta: gli hai semplicemente detto dove guardare.

4. La catena di recupero: vale quanto il suo anello più debole

Il punto concettuale più importante: puoi avere una password lunghissima e l'autenticazione a due fattori attiva, ma se il meccanismo di recupero dell'account si affida a una domanda di sicurezza indovinabile, tutto il resto non conta. Un attaccante non ha bisogno di rompere la serratura più forte se il sistema stesso gli offre una scorciatoia più debole verso lo stesso obiettivo.

Quando un servizio richiede ancora domande di sicurezza, rispondi con dati falsi ma coerenti, non la verità, ma qualcosa che solo tu conosci, e conservali in un password manager, non a memoria.

Dove possibile, preferisci sempre metodi di recupero più forti: un'app di autenticazione, una chiave di sicurezza fisica, o un indirizzo email secondario dedicato solo al recupero.

Rivedi periodicamente cosa condividi pubblicamente: se una domanda di sicurezza chiede «il nome della tua città natale» e quel dato è nella tua biografia social, è già compromesso, a prescindere da quanto sia forte il resto del tuo account.

In sintesi

Il design di un sistema di recupero account non è un dettaglio tecnico lontano da te: è la porta sul retro di ogni account che possiedi. Controllare quella porta, sapere quali domande esistono, e non rispondere mai col vero, è una delle abitudini digitali più sottovalutate.