¿Hay algún riesgo por usar mint.com?

Tener más cuentas y más contraseñas probablemente aumenta las posibilidades de que alguien pueda piratear al menos una cuenta.

Pero incluso si alguien hackeara mi cuenta de Mint, ¿habría alguna razón para preocuparse?

¿Qué pasa con otros riesgos con mint.com? ¿Y si uso Bank of America en particular?

Consulte esta pregunta en el intercambio de pila de seguridad: security.stackexchange.com/questions/10820/…

Respuestas (4)

Mint.com usa algo llamado OFX (Open Financial Exchange) para obtener la información en su cuenta bancaria. Si alguien accedió a su cuenta de menta, no podría realizar ninguna transacción con su banco. Todo lo que podrían hacer es ver la misma información que usted ve, parte de la cual podría ser personal <- eso depende de usted.

Generalmente el punto más débil en seguridad está con el usuario. Es mucho más probable que un "atacante" obtenga la información de su cuenta de usted que del sitio en el que se registró.

Por qué eres el punto más débil:

Cuando ingresa la información de su cuenta, su contraseña nunca se guarda exactamente como la ingresa. Se pasa a través de lo que se llama una "función unidireccional", estas funciones son fáciles de calcular de una manera, pero dado el resultado final, es EXTREMADAMENTE difícil de calcular a la inversa. Entonces, en una base de datos, si alguien buscara su contraseña, vería algo como esto "31435008693ce6976f45dedc5532e2c1". Cuando inicia sesión en una cuenta, su contraseña se envía a través de esta función y luego el resultado se compara con lo que está guardado en la base de datos, si coinciden, se le otorga acceso. La forma en que un atacante obtendría su contraseña es ingresando valores en la función y comparando los valores con los suyos, esto se conoce como ataque de fuerza bruta. Para nuestro ejemplo (31435008693ce6976f45dedc5532e2c1), alguien tardaría 5 millones de años en descifrar el pt mediante un ataque básico de fuerza bruta. Usé "thisismypassword" como mi contraseña de ejemplo, tiene 12 caracteres. Esta es la razón por la que la mayoría de los sitios lo instan a crear contraseñas largas con una combinación de números, mayúsculas, minúsculas y símbolos.

Esta es una explicación muy básica de la seguridad y ambos lados tienen mejores herramientas que la explicada, pero esto le da una idea de cómo funciona la seguridad para sitios como estos.

Es mucho más probable que un virus o un registrador de claves roben su información.

Yo uso menta.

Editar:
de las preguntas frecuentes de Mint :

¿Almacenan la información de inicio de sesión de mi banco en sus servidores?
Sus credenciales de inicio de sesión bancarias se almacenan de forma segura en una base de datos separada mediante el cifrado de hardware y software de varias capas. Solo almacenamos la información necesaria para ahorrarle la molestia de actualizar, sincronizar o cargar información financiera manualmente.

Edición 2: Desde OFX

Acerca de la seguridad

Open Financial Exchange (OFX) es una especificación unificada para el intercambio electrónico de datos financieros entre instituciones financieras, empresas y consumidores a través de Internet.

Así es como Mint puede comunicarse incluso con su pequeño banco local.

EDICIÓN FINAL: (Esto responde todo)

Para las contraseñas de Mint, calculamos un hash seguro de la contraseña elegida por el usuario y almacenamos solo el hash (el hash también se saltea; consulte http: //en.wikipedia.org/wiki/Sal ...). Hashing es una función unidireccional y no se puede revertir. No es posible ver ni recuperar la contraseña en sí. Cuando el usuario intenta iniciar sesión, calculamos el hash de la contraseña que intenta usar y lo comparamos con el valor hash registrado. (Esta es una técnica estándar que todos los sitios deberían usar).

Para las credenciales bancarias, generalmente debemos usar encriptación reversible para lo cual tenemos procedimientos especiales y hardware seguro guardado en nuestro centro de datos seguro y protegido. Las claves de descifrado nunca abandonan el dispositivo de hardware (que está diseñado para destruir el material de la clave si se ataca la protección contra manipulaciones). Este dispositivo solo se descifrará después de que sea activado por un quórum de otras claves, cada una de las cuales se almacena en una tarjeta inteligente y también se cifra con una contraseña conocida solo por una persona. Además, el dispositivo requiere un token de permiso firmado criptográficamente por tiempo limitado para cada descifrado. El sistema (que diseñé y patenté) también tiene instalaciones para la auditoría remota segura de cada descifrado.

Fuente: David K ​​Michaels, vicepresidente de ingeniería, Mint.com - http://www.quora.com/How-do-mint-com-and-similar-websites-avoid-storing-passwords-in-plain-text

En la reciente violación de LinkedIn, parece que LinkedIn no estaba usando salts para almacenar las contraseñas, lo que las hace mucho más vulnerables. La mera función hash no es suficiente, ya que muchas personas usan palabras de diccionario o números que (sin sal) se pueden revertir fácilmente. +1 por la explicación técnica por cierto, y bienvenido.
Lo siento, pero te estás perdiendo algo importante. Según mi entendimiento de security.stackexchange.com/questions/10820/… (¿tal vez las cosas cambiaron?) mint.com tiene que almacenar sus contraseñas para varios sitios bancarios. Si bien están encriptados, tienen que acceder a ellos en texto claro para que puedan autenticarse en el banco. Creo que el riesgo es mayor de lo que sugieres.
Es posible que hayas entendido mal mi explicación o la explicación en el enlace. Lo que declaro arriba son prácticas generales de seguridad. Digo que si Mint almacena su contraseña, la almacenan como una clave cifrada, no como su contraseña real a medida que la escribe. La contraseña que ingresa se envía a través de una función unidireccional (ver arriba) y el resultado final se almacena. Las funciones unidireccionales son solo una función que su computadora solo puede manejar de una manera. OFX es la forma en que se comunican con el banco. El enlace en mi publicación proporciona información sobre cómo funciona OFX.
@KirillFuchs: entiendo las funciones hash. Simplemente creo que su respuesta es un poco engañosa, especialmente para alguien sin experiencia técnica. Motivo: suena como si estuviera diciendo que mint.com no maneja su contraseña simple; lo hash una vez y eso es todo. En realidad, las contraseñas simples (mientras se almacenan encriptadas) se manejan a veces mucho más tarde para comunicarse con los bancos. Creo que un sistema como ese hace más posible que alguien tenga acceso a su contraseña. No es como si alguien bloqueara la contraseña y tirara la llave. La clave todavía está alrededor.
Mi punto es que la contraseña que almacenan no es un hash de su contraseña... es la contraseña. Toman medidas serias para proteger eso... pero es menos seguro que lo que describes. OFX o no, está confiando su contraseña a otra parte. Ese es un riesgo muy real que debe sopesar antes de decidir usar mint.com.
@Tom está equivocado, no almacenan su contraseña como "texto sin cifrar". El usuario que respondió esa pregunta en su enlace no proporcionó información, solo suposiciones que hizo a partir de pruebas que realizó él mismo (que, en mi opinión, no probaron su conclusión). Si lee las especificaciones en OFX, existe un estándar para este tipo de comunicación que es por eso que Mint puede apoyar a su pequeño banco local. Si encuentra un recurso que indique lo contrario, por favor enlace.
@KirillFuchs: FTR, no quise decir que se almacenan como texto sin cifrar :-). Quise decir que almacenan una versión cifrada de tu contraseña, no un hash. Quizás lo real que no entiendo aquí es OFX. Las preguntas frecuentes a las que se vinculó dicen que la contraseña está encriptada y que "Solo almacenamos la información necesaria para ahorrarle la molestia de actualizar, sincronizar o cargar información financiera manualmente". La verdadera pregunta es: "¿Qué necesita mint.com?" Para hacer eso. Yo diría que necesitan su contraseña real. ¿Está diciendo que OFX es un mecanismo por el cual mint.com no necesitaría su nombre de usuario/contraseña? ¿Algo así como OAuth?
OFX es una especificación que les dice a los bancos y desarrolladores cómo deben manejar la información. Algo así como lo que w3.org es para html. A los navegadores (IE, Chrome, Firefox...) se les dice "aquí están los estándares para que html construya su analizador para leerlo de esta manera". Aquí está el enlace para OFX Security ( ofx.net/SecurityPage/Security.aspx ) - establece específicamente que usan criptografía de clave pública y hash.
@KirillFuchs: No veo ningún lugar en esa página donde diga que usa un hash para las contraseñas. Parece que OFX es solo un protocolo para transmitir datos financieros, pero no cambia el hecho de que mint.com necesitaría presentar sus credenciales. De hecho, si transmitieran hashes de contraseñas, parece que (1) podría tener que estar de acuerdo con la función hash y (2) tendría que estar de acuerdo con una sal o no usar sales. ¿Sabes en qué parte de la especificación o de esa página dice que usan el hash de la manera que describes? Mi lectura de las preguntas frecuentes de mint.com a las que se vincula sugiere que mantienen su pwd.
Para mí, OFX suena como si fuera un protocolo para formatear datos y transmitirlos (piense en xml y https... envía su contraseña a través de https, simplemente está encriptada). No veo donde dice que los terceros no necesitan su contraseña. mint.com no parece usar un mecanismo como oauth para otorgar acceso sin tener las credenciales de los usuarios. Nunca me he registrado en mint.com, pero tengo entendido que usted ingresa su contraseña y se la da a mint. No te redirigen a tu banco para autorizar su acceso.
He agregado información que encontré del ingeniero vicepresidente de Mint. Mi descripción anterior pretendía servir como un ejemplo de cómo funciona la seguridad para que el lector pueda tomar una decisión informada basada en cierta comprensión de la seguridad. En mi ejemplo, uso MD5, pero estoy seguro de que Mint no lo hace. No puedo decir que el método que usa Mint sea más o menos seguro que algún otro método, ya que ninguno puede probarse sin encontrar fallas dentro del sistema. Pero sí sabemos que un ingeniero malintencionado de mint no puede recuperar su contraseña y la contraseña NO se almacena como "texto sin cifrar", que es lo que se indica en su enlace.
Gracias por el enlace! Tenga en cuenta que VP dice "Para las credenciales bancarias, generalmente debemos usar el cifrado reversible", que es mi punto principal. Otro cartel sobre esa pregunta expresa bien mi preocupación: "Me parece que el momento vulnerable es cuando la contraseña se descifra para su uso y está lista para enviarse al banco. Si el servidor que maneja ese trabajo se ve comprometido, el atacante obtendrá acceso a todas las contraseñas que pasan por él".
Así que ahora sabemos: mint.com tiene su contraseña. Se almacena de forma segura, pero hay formas de revertir el cifrado y adquirir la contraseña de texto sin cifrar. Toman medidas serias para salvaguardarlo, pero no se deje engañar pensando que almacenan una versión irreversible de su contraseña y que no hay forma de obtenerla. "Este dispositivo solo se descifrará después de que sea activado por un quórum de otras claves, cada una de las cuales se almacena en una tarjeta inteligente y también se cifra con una contraseña que solo conoce una persona".
Por cierto, creo que su respuesta tiene cosas buenas ... Simplemente no quería que el lector casual interpretara esta respuesta como "mint.com no tiene forma de obtener y usar mi contraseña". No estoy en contra de que la gente use mint.com... Solo quiero que entiendan los riesgos... ¡Gracias de nuevo por ese enlace! Eso ha sido lo más útil que he obtenido de esta respuesta.
Lo aprecié y gracias a los comentarios profundicé más. Me gustaría agregar que todas las contraseñas pueden verse comprometidas, incluso una que se almacena con un hash irreversible.
"El sistema (que diseñé y patenté)" Una patente no garantiza en absoluto que el sistema funcione como uno desearía desde el punto de vista de la seguridad, al igual que los derechos de autor del software informático no garantizan que el código esté libre de errores.
Krill, tu respuesta es engañosa. ¿Podría por favor actualizarlo y reformularlo? Mint almacena su contraseña bancaria utilizando una función bidireccional (es decir, reversible), no una función unidireccional. Está encriptado, lo cual es mejor que nada, pero aún es posible que Mint (o un pirata informático con acceso adecuado) recupere su contraseña bancaria.
@Tom No creo que importe mucho cómo se almacenan las credenciales bancarias. Es de esperar que Mint use el cifrado adecuado. Sin embargo (!), el hecho de que Mint requiera sus credenciales bancarias reales me preocupa. Eso significa que, independientemente de cómo lo cifre Mint, se puede descifrar en un formulario que se puede usar para iniciar sesión en su cuenta bancaria. Espero que el banco solo ofrezca los detalles de la transacción a Mint, porque carece de un paso de autenticación de dos factores. Pero aún así no me sentiría cómodo con eso.
Idealmente, los bancos crearían una API moderna de solo lectura que use claves API para acceder a la información. Usted genera una clave en su sitio bancario y luego se la proporciona a Mint para acceder (solo) a la información de su transacción. Desafortunadamente, los bancos son muy lentos para innovar. Muchos bancos están usando versiones antiguas de OFX. Tal vez en unos años veamos a las grandes tecnológicas (Apple, Google y Microsoft) entrar en el mercado bancario. Con suerte, entonces veremos algunas mejoras.

Algunos bancos permiten el acceso de solo lectura a mint.com a través de un "código de acceso" separado que un cliente puede crear. Esto todavía permitiría que un atacante averigüe cuánto dinero tiene y los detalles de la transacción, y puede tener conocimiento de alguna otra información (quizás su número de cuenta, su dirección, etc.).

El problema incluso con este acceso de solo lectura es que muchos bancos también permiten a los usuarios de otros bancos configurar una autorización de débito directo que permite retiros. Y para configurar el enlace de débito directo, el principal obstáculo es poder identificar correctamente las fechas y los montos de dos pequeñas transacciones de depósito de prueba, que podrían realizarse con solo acceso de solo lectura.

La mayoría de los bancos solo admiten una única contraseña de acceso completo por cuenta, y ahí tienes un mayor riesgo potencial de actividad fraudulenta real.

Pero si descubre dicha actividad y la informa de manera oportuna, debe recibir un reembolso. Asegúrate de revisar tu cuenta con frecuencia. También asegúrese de cambiar sus contraseñas de vez en cuando.

¿Quién reembolsa? ¿El Banco? Si he autorizado a un tercero para que actúe como agente en mi nombre y le he dado mi contraseña, y ese agente se ve comprometido de alguna manera, ¿por qué el banco sería responsable de nada de eso?
E incluso si mint.com solo obtiene acceso de solo lectura, le he dado el único combo de usuario/pase para que mi banco acuñe. Si eso es robado, un ladrón podría entrar directamente en mi dinero. (Dicho esto, uso mint.com a menudo).
@MrChrister ese es mi punto, no el único. Por ejemplo, ING Direct y Sharebuilder tienen un conjunto diferente de claves para mint.com, no el mismo que usa cuando inicia sesión en su sitio web directamente.
@Chris si autorizó al agente a actuar en su nombre, pero alguien que no está autorizado le roba la contraseña, entonces, ¿en qué se diferencia de que le roben la tarjeta de crédito a su esposa?
...Y NO USE LA MISMA CONTRASEÑA PARA TODAS SUS CUENTAS BANCARIAS Y DE DINERO!!
@littleadv - No sabía eso. No tengo ING, pero cada uno de mis varios bancos usa la misma información en Quicken, Mint y acceso directo en el sitio. Felicitaciones a ING por pensar en el futuro.
@MrChrister y otros: es posible que le interese esta pregunta sobre el intercambio de pilas de seguridad. (ING en realidad aparece en las respuestas :-)... security.stackexchange.com/questions/10820/…
@Chris No establece la Norma E que para las cuentas no comerciales, el banco está obligado a reembolsar el 100 % de todas las transacciones electrónicas no autorizadas, independientemente de la negligencia del cliente, siempre y cuando les informe del fraude dentro de los 60 días posteriores a la recepción de su estado de cuenta ? En este caso, Mint no estaba autorizado a retirar dinero (solo lectura) y tampoco lo estaba el hacker. Sin embargo, creo que la ley estatal o los acuerdos entre clientes y bancos pueden alterar la Regulación E.

Con Mint, sin duda, le está diciendo a un tercero su nombre de usuario y contraseña. Si mint se ve comprometida o contrata a un mal actor, técnicamente no hay nada que detenga las travesuras. Simplemente debe estar atento y ser consciente de sus derechos y las protecciones legales que tiene contra el fraude.

A pesar de toda la experiencia técnica y la seguridad cuidadosa que implementan, nosotros, los clientes, debemos saber que no existe, ni existirá, un sistema perfectamente seguro.

La compensación es lo que puede hacer por el mayor riesgo. Y cuando se toma en cuenta todas las Otras * formas en que se expone su información bancaria, y lo poco que puede hacer al respecto, mint.com es solo un aumento menor en el riesgo en mi opinión.

* Vea paypal, los números de ruta de un cheque, cualquier sitio de comercio electrónico en el que compre, cada banco que tenga un sistema en línea, el depósito directo de su departamento de recursos humanos y cada vez que pase su tarjeta de débito/crédito en alguna parte.

Todos estos son riesgos técnicos, algunos de los cuales están más allá de su control para cambiar. Aparte de mantener su dinero en su colchón, no puede evitar el riesgo. (Y luego tu colchón se incendia.)

Aquí hay una respuesta muy simple, pregúntele a su corredor/banco. El mío usa ofx. Cuando se me preguntó si me reembolsarían por cualquier actividad no autorizada, la respuesta fue no. Bastante simple, los bancos que lo usan no se sienten lo suficientemente seguros.

¿Hay algún riesgo por usar mint.com?
RespuestasAquíPolítica de privacidad1y, 0v