A raíz del informe de la semana pasada sobre cinco cuentas de administrador que fueron pirateadas mediante el descifrado de sus contraseñas, Mangojuice (con la ayuda de varios otros) ha propuesto un método que los editores pueden utilizar para identificarse como el titular original de la cuenta y así recuperar el control de la misma. Al momento de escribir este artículo, alrededor de 300 usuarios han confirmado su identidad utilizando este método.
Plantilla: La identidad comprometida del usuario ofrece a los editores una forma de demostrar posteriormente que son la persona que tenía el control de su cuenta el día en que se colocó la plantilla. Esto se hace colocando un compromiso público con una cadena secreta en la página del usuario para que, en el improbable caso de que su cuenta se vea comprometida, puedan convencer a otra persona de que son la persona real detrás del nombre de usuario, incluso si el secuestrador ha cambiado la contraseña.
Un editor elige una cadena secreta ; se trata de un grupo de palabras y números o una frase conocida solo por el titular de la cuenta. La cadena secreta puede tener cualquier longitud; una buena cadena contendrá al menos 15 caracteres e incluirá información única que solo el titular de la cuenta conocería, como un número de teléfono o una dirección de correo electrónico privada (no la dirección asociada con su cuenta de Wikipedia). La cadena secreta luego se procesa a través de una función hash criptográfica como SHA-2 (SHA-512, SHA-384, ...) o SHA-3 para generar un valor hash único o compromiso . El compromiso se coloca en algún lugar del espacio de usuario del editor. Si la cuenta se ve comprometida o secuestrada, el editor proporciona la cadena secreta a un administrador de confianza o un desarrollador, que verifica que la cadena secreta coincida con el valor de compromiso. Debido a que la función hash es "unidireccional", es imposible calcular hacia atrás para encontrar un valor de cadena que coincida con un valor hash dado, y las probabilidades de que una cadena aleatoria tenga el mismo valor hash (una colisión de hash ) son insignificantes. Por lo tanto, conocer la cadena que produce un valor determinado es una prueba muy sólida de que la persona que proporciona la cadena es la persona que la publicó originalmente. Una vez que se verifica la cadena, los desarrolladores pueden restablecer la contraseña para permitir que el titular original de la cuenta recupere el control.
Otra opción es que el usuario cree un par de claves PGP y coloque la clave pública en su página de usuario, y luego pruebe su identidad utilizando la clave privada para firmar cualquier mensaje que el retador quiera que se firme. Sin embargo, esto requiere más competencia técnica y es necesario garantizar que el archivo de clave privada esté bien protegido (ya no es un simple mensaje, aunque, por supuesto, se puede cifrar con una frase de contraseña).
Por ejemplo, el usuario DonaldDuck1 elige una "cadena secreta" que incluye los nombres y la fecha de nacimiento de sus sobrinos. Su cadena es:
Hewey, Dewey y Louie, 17 de octubre de 1937.
Sin embargo, si DonaldDuck1 ha mencionado a su familia en Wikipedia, esto podría ser demasiado fácil de adivinar. Una variación útil sería
Hewey October Dewey 17 Louie 1937. ¡La ensalada de huevo es un asesinato!
El uso de este sitio web para calcular el valor hash SHA-512 produce
b43f3e39de3f501217144badfc64687a2f516d5d1205d89e51c003715f8609adfbd085afcac3839f7d1008d185e4ab0040edecf62671dbf66a825823e7d3ad42
El usuario: DonaldDuck1 luego colocaría el valor hash en su página de usuario usando la identidad comprometida de Template:User de esta manera:
{{identidad confirmada por el usuario|b43f3e39de3f501217144badfc64687a2f516d5d1205d89e51c003715f8609adfbd085afcac3839f7d1008d185e4ab0040edecf62671dbf66a825823e7d3ad42|SHA-512}}
que se ve así:
En caso de que la cuenta de DonaldDuck1 se vea comprometida o pirateada, puede enviar la cadena por correo electrónico a la oficina de la Fundación Wikimedia. Si el valor hash de la cadena coincide con el valor hash publicado previamente en su página de usuario, habrá demostrado que es el legítimo propietario de la cuenta.
.svg/1280px-Logo_Mastodon_(Software).svg.png){kind=logo}
.svg/1280px-Facebook_f_logo_(2019).svg.png){kind=logo}
Discutir esta historia
Esta página está etiquetada como obsoleta y hay una recomendación de febrero de 2014 de utilizar únicamente algoritmos criptográficos que se consideren seguros. ¿Alguien sabe si hay instrucciones en algún lugar sobre cómo hacer esto? ¿O hay planes para actualizar esta página? ¿O algún cambio en la recomendación? Tal vez ahora que estamos en un servidor seguro, no sea tan crucial. 08:58, 8 de abril de 2014 (UTC)
Borrador de la propuesta de "Identidad comprometida" en Borrador:Wikipedia:Identidad comprometida
Había empezado a hacer un borrador de una página que podría considerarse una política real para Wikipedia:Identidad comprometida . Cualquier ayuda con esta tarea será bienvenida. Steel1943 ( discusión ) 19:53 25 may 2015 (UTC) [ responder ]
Hacerlo más seguro
Asuntos
Esta función tiene un gran potencial y creo que podría ser muy útil. Sin embargo, si se sigue el consejo de que “[la cadena debe] contener al menos 15 caracteres e incluir información única que sólo el titular de la cuenta conozca”, sería imposible forzarla adivinando caracteres aleatorios, aún tiene una serie de agujeros de seguridad:
Si bien estos métodos requieren mucho esfuerzo, hay millones de personas que usan Wikipedia, y si tan solo un grupo de piratas informáticos de sombrero negro lograra comprometer la cuenta de un administrador de interfaz, podría lograr que Wikipedia robe las contraseñas de todos e instale malware.
Proceso propuesto
Aquí hay un proceso diferente que propongo:
Estableciendo el secreto
Recuperar una cuenta
Automatizar este proceso
Esto es muy engorroso tanto para el usuario como para la fundación Wikimedia. Sin embargo, se puede agregar fácilmente como un [[Wikipedia:Haré un script de prueba de concepto si esto genera suficiente atención. Anónimo de Stack Overflow ( discusión ) 18:42, 13 de diciembre de 2021 (UTC) [ responder ]
Haciéndolo más robusto
Este es un intento de mejorar el proceso, ya que descubrí que el mío ahora está roto. Me doy cuenta de que esta página de discusión no está estructurada como la mayoría, así que espero estar haciendo las modificaciones de la manera correcta. Por favor, eliminen lo que no sea necesario. -- Silicosaur ' us 12:24, 13 de agosto de 2023 (UTC) [ responder ]
Asuntos