Sí, podeu obviar la sessió de codi de seguretat de PayPal
- Categoria: Seguretat
Quan vaig notar una pagament no autoritzat realitzat amb el meu PayPal compte el 2008, de seguida vaig ordenar un Dispositiu de protecció d’identitat VeriSign per afegir una segona capa de protecció al procés d’inici de sessió al lloc. Bàsicament, en lloc d’iniciar la sessió a PayPal amb l’adreça de correu electrònic i la contrasenya, ara se’m demana que introdueixi un codi de seguretat generat pel dispositiu a sobre. El codi que genera el dispositiu té una validesa màxim de 30 segons, després d’invalidar-lo automàticament.
Això és en teoria prou per protegir el compte de keyloggers, troians i fins i tot algú que mira per sobre de l'espatlla mentre inicieu la sessió a PayPal. Hi ha dos problemes aquí. Primer, què passa quan es perd l'accés al dispositiu de protecció? Com podeu iniciar la sessió a PayPal llavors? En segon lloc, què passa si oblides la teva contrasenya?
Un nou article sobre Seguretat nua - un gran bloc per cert - posa de manifest un possible defecte en el sistema. Quan oblideu la contrasenya de PayPal, podeu recuperar el compte introduint dues contrasenyes secundàries que heu seleccionat durant la inscripció. Amb l’ajuda d’aquestes dues contrasenyes, podeu iniciar la sessió al vostre compte de PayPal i fer tot allò que normalment podeu fer, sense haver de proporcionar primer un testimoni de seguretat.
Ara podríeu dir que això no és realment un problema, ja que heu d’introduir dues contrasenyes per iniciar la sessió. El problema aquí és, però, que introduir les dues contrasenyes per iniciar la sessió a PayPal proporciona atacants a través d’un keylogger per exemple, amb tota la informació necessària per accedir al compte complet.
PayPal demana primer l’adreça de correu electrònic del compte, amb opcions per recuperar-lo també escrivint possibles candidats si heu oblidat quin correu electrònic utilitzeu a PayPal. Obteniu un enllaç en aquest correu electrònic que us portarà a una pàgina de recuperació. En funció de la configuració del vostre compte, podeu tenir diverses opcions aquí. Per exemple, vaig tenir l’opció d’introduir un número de targeta de crèdit associat al compte o respondre les preguntes de seguretat.
Aquestes preguntes de seguretat es componen de les preguntes habituals de 'nom de naixement de la mare, amic de la infància o hospital que heu nascut'. Tingueu en compte que és molt recomanable per no respondre correctament a les preguntes durant la configuració, ja que en cas contrari és possible endevinar o enginyar les respostes per obtenir accés al compte.
El procés anul·la completament el dispositiu de protecció, cosa que no està clar per què passa això. Si només heu oblidat la vostra contrasenya, haureu de tenir accés al dispositiu, de manera que podreu generar un codi com a part del procés d'inici de sessió.
L’opció de recuperar la contrasenya sense haver de passar per un llarg procés de verificació per telèfon o enviant documents a PayPal per verificar la seva identitat és certament convenient, però la seguretat hauria de ser més important que això.
Què en preneu de les troballes?