Quem é o culpado por senhas ruins?

Quando as senhas incorretas levam a uma violação, quanto da responsabilidade recai sobre o usuário em comparação com a tecnologia subjacente?

Essa foi a questão no centro de uma discussão recente entre dois membros da comunidade de segurança da informação. Troy Hunt, especialista em segurança e proprietário do serviço Have I Been Pwned, perguntou via Twitter se um usuário é responsável por um ataque de preenchimento de credencial se criar e reutilizar uma senha fraca em vários serviços. Wendy Nather, diretora de CISOs consultivos da Duo Security e veterana em segurança da informação, respondeu dizendo que a comunidade de segurança de TI deveria parar de culpar os usuários por senhas incorretas e focar no design técnico incorreto.

Em uma postagem de acompanhamento no blog, Hunt argumentou que as vítimas deveriam ter parte da culpa quando os hacks são resultado de práticas inadequadas de senha. Nather, entretanto, discordou.

"Como designers de tecnologia, demos aos usuários um design horrível e agora os estamos constrangendo com os resultados, em vez de corrigi-los", escreveu ele no Twitter.

Embora todos pareçam concordar que as senhas incorretas são um grande problema de segurança, o debate sobre quem é o principal responsável pelo problema e como corrigi-lo continua. Neste episódio do podcast Risk & Repeat, nosso editor do portal irmão SearchSecurity, Rob Wright, e o repórter principal Michael Heller, examinam mais de perto as posições opostas de Hunt e Nather e oferecem suas próprias opiniões sobre o debate.