Bruce Schneier postade för nÃ¥gra dagar sedan om att hitta pÃ¥ bus med säkerhetsfrÃ¥gor – den typ av frÃ¥gor man mÃ¥ste ge ett svar pÃ¥ för att sedan kunna användas för att autenticera sig om det skulle behövas. NÃ¥gra av Schneiers förslag pÃ¥ frÃ¥gor och svar är:
Q: Do you know why I think you’re so sexy?
A: Probably because you’re totally in love with me.
Q: Need any weed? Grass? Kind bud? Shrooms?
A: No thanks hippie, I’d just like to do some banking.
Q: The Penis shoots Seeds, and makes new Life to poison the Earth with a plague of men.
A: Go forth, and kill. Zardoz has spoken.
Q: What the hell is your fucking problem, sir?
A: This is completely inappropriate and I’d like to speak to your supervisor.
Q: I’ve been embezzling hundreds of thousands of dollars from my employer, and I don’t care who knows it.
A: It’s a good thing they’re recording this call, because I’m going to have to report you.
Q: Are you really who you say you are?
A: No, I am a Russian identity thief.
Naturligtvis hakar en massa läsare pÃ¥ och kommentarerna till Schneiers postning innehÃ¥ller en del riktigt roliga – och en del riktigt bra frÃ¥gor. För själva poängen är att om dessa frÃ¥gor och svar skall vara bra säkerhetsmässigt skall dom inte vara enkla att gissa.
Naturligtvis var det mer än en som kom på att man skulle kunna använda dessa frågor som ett sätt att försöka attackera en tjänst, detta då det man matar in antagligen skickas rätt in i en databas. En som redan tänkt i dessa banor är Randall Munroe, skaparen av serien XKCD:
Men nu visar det sig att detta antagligen hänt i verkligheten. BoingBoing har en postning om att banken The Sacramento Credit Union har följande information om vad som gäller för hemliga fraser:
The answers to your Security Questions are case sensitive and cannot contain special characters like an apostrophe, or the words “insert,” “delete,” “drop,” “update,” “null,” or “select.”
Gissningsvis har dom lärt sig detta den hÃ¥rda vägen…
