¿Qué les están dando de comer a los expertos de seguridad del Banco de Chile?

Hoy me muestran una página, en donde me piden cambiar la contraseña. No habiendo explicación o introducción de por medio, lo primero que pensé fue en phishing o suplantación.

La primera página me pide una nueva contraseña y valida que sea segura. Después de tontear un buen rato, determiné que una palabra inventada de 6 caracteres y 1 número, no califica de segura, ni siquiera empleando una letra en mayúscula. Cuando mucho, califica como regular. Se requiere un mínimo 2 caracteres en mayúsculas y 2 números. No permite otros caracteres. (El algoritmo y el script que utilizan está disponible y explicado aquí). Hasta aquí bien, salvo el detalle del párrafo anterior.

Pero lo bueno, viene a continuación.

Con la nueva exigencia, es altamente probable que mucha gente tendrá problemas para recordar su contraseña, y para ayudarles, ¿qué mejor que el usuario responda 3 preguntas de su elección?. El siguiente texto sirve de encabezado (el énfasis es mío):

1. Las Preguntas de Seguridad le permitirán reactivar su actual clave cuando esté bloqueada o cambiarla cuando la haya olvidado.
2. Asegúrese de escribir respuestas fáciles de recordar y que sólo usted conozca. Ellas sólo serán conocidas por usted ya que éstas quedarán encriptadas.
3. Para evitar errores u olvidos, le recomendamos que ingrese respuestas de una sola palabra.

¿Para qué me piden una contraseña rebuscada si luego me hacen preguntas tontas?

Es conocido y popular el dicho: una cadena de seguridad es tan segura como el eslabón más débil. Al añadir las preguntas, se baja la barrera de seguridad. Ya no tiene sentido recordar o saber la contraseña, si hay una forma más fácil de entrar. Además, las respuestas a las preguntas se pueden obtener fácilmente vía ingeniería social. Solamente leyendo los perfiles de Facebook, o en una conversación ocasional, se podría obtener dichas respuestas de mucha gente.

¿Acaso no se enteraron del incidente de seguridad de Twitter? En donde el atacante no intentó obtener o adivinar la contraseña de sus empleados, sino que se limitó a recolectar información que le permitiera responder este tipo de preguntas. Lo mismo le ocurrió a Sarah Palin (candidata a la vicepresidencia de EEUU) con su cuenta de correo.

Antes que me respondan que para eso está el digipass (el nombre comercial de la autenticación de dos factores), no es válido. Si fuera así, ¿qué ocurre con la confidencialidad de los datos? o incluso, ¿para qué se molestan en pedir una contraseña fuerte y otra débil?

No obstante, hay que reconocer que el equipo creativo se la jugó y cambió las tradicionales preguntas (marca/modelo de automóvil, nombre de la mascota, etc.), por algunas ligeramente más novedosas, aunque son igualmente fáciles de determinar para alguien interesado. A saber:

1. El regalo que más le ha gustado
2. Nombre del profesor(a) del que tiene mejores recuerdos
3. Nombre del primer amor
4. Nombre del primer amigo(a) de la infancia
5. Si pudiera, ¿qué se cambiaría?
6. Profesión u oficio que deseaba ser cuando niño(a)
7. Primera Operación quirúrgica
8. Personaje Histórico preferido
9. Nombre de la persona que siempre ha admirado
10. Nombre de la empresa en donde menos le ha gustado trabajar
11. Modelo de su primer auto
12. Evento que marcó su vida
13. Destino del primer viaje importante
14. Calle donde vivió cuando era niño
15. Actividad que menos le gusta realizar

Como solución, apelo a que el ingenio no será suficiente para colocarlas en orden aleatorio, cuando se intente recuperar la contraseña. Así que creo que, una sana recomendación es utilizar una contraseña como cualquier otra, ya sea la misma para las 3 primeras preguntas u otra combinación a gusto. Así por ejemplo, Modelo de su primer auto → 1qLhaMb0; Evento que marcó su vida → 1qLhaMb0, etc. donde «qLhaMb» son las iniciales de «qué Le hicieron a Mi banco» rodeado por 1 y 0. Claro, que siendo una contraseña, se pueden usar todos los improperios con que uno quiera describir a su banco.

Por cierto, si olvidase la clave, preferiría que el banco me exija ir a una sucursal, en donde me puedan exigir mostrar mi cédula de identidad; y una vez validado se pueda definir una nueva contraseña con todo la ceremonia que hacen cuando uno abre una cuenta corriente. Sin embargo, este mecanismo tiene un costo para el banco, mientras que la otra, le traspasan el total del costo al usuario.

Para terminar, una joyita del chilenismo para definir los estilos del código fuente de la página, particularmente en aquella que se refieren al usuario:

  <div id="header"> <span id="brea"> Usted est&aacute; en: