ฉันควรบังคับให้ผู้ใช้เปลี่ยนรหัสผ่านทุก ๆ วัน / สัปดาห์ / เดือนหรือไม่

คำถามบอกมันทั้งหมด เรากำลังออกแบบระบบที่ความปลอดภัยมีความสำคัญมาก หนึ่งในความคิดที่มีคนบังคับให้ผู้ใช้เปลี่ยนรหัสผ่านทุก 3 เดือน สิ่งที่ฉันทำในขณะนี้คือแม้ว่ามันจะปลอดภัยมากขึ้นเพราะรหัสผ่านมีการเปลี่ยนแปลงบ่อยครั้งมันยังบังคับให้ผู้ใช้ของเราจำรหัสผ่านที่เคยเปลี่ยนและทำให้เป็นไปได้มากขึ้นที่พวกเขาจะเขียนลงที่อื่นเพื่อช่วยจำ

ในความคิดเดียวกันมันเป็นการดีที่จะบังคับให้ผู้ใช้ใช้รหัสผ่านที่คาดเดายากสุด ๆ บังคับให้พวกเขาใช้?% &% และตัวอักษรตัวพิมพ์เล็ก ฉันรู้ว่ามันค่อนข้างยุ่งยากในการคิดค้นรหัสผ่านเช่นนั้นและจดจำได้

จากนั้นอีกครั้งเราไม่ต้องการให้ใครใช้ 12345

ดังนั้น. มีสมุดปกขาวเกี่ยวกับเรื่องนี้หรือไม่? การปฏิบัติที่ดี?

ฉันกำลังพูดถึงเว็บไซต์ที่สร้างด้วย PHP MySQL ในสภาพแวดล้อมของหลอดไฟหากมีการเปลี่ยนแปลงอะไร

ฉันคิดว่าฉันอาจเป็นส่วนน้อยในเรื่องนี้ (จากประสบการณ์ที่ จำกัด ของฉันในการจัดการกับแผนกไอทีที่โรงเรียนและที่ทำงาน) แต่ฉันคิดว่านโยบายการเปลี่ยนรหัสผ่านตามเวลาเป็นสิ่งที่คุ้มค่าที่สุดและเป็นอันตรายที่สุด คนมักจะไม่ดีในการเลือกรหัสผ่านที่ดีและทำให้พวกเขาเป็นความลับ นโยบายการหมดอายุของรหัสผ่านได้รับการออกแบบมาเพื่อบรรเทาปัญหานี้โดย จำกัด ระยะเวลาที่รหัสผ่านใด ๆ ที่สามารถถอดรหัส / ถอดรหัสทางสังคม / ขโมย อย่างไรก็ตามพวกเขาล้มเหลวในการทำสิ่งนี้ในทางปฏิบัติเนื่องจากพวกเขาบังคับให้ผู้ใช้เรียนรู้รหัสผ่านใหม่อย่างต่อเนื่อง ด้วยการทำให้ผู้ใช้ส่งรหัสผ่านไปยังหน่วยความจำได้ยากขึ้นทำให้ผู้ใช้หลายคนเลือกรหัสผ่านที่อ่อนแอลงและ / หรือเขียนรหัสผ่านของพวกเขาลงที่ใดที่ที่สามารถมองเห็นได้

[base string][digit]นอกจากนี้เมื่อถูกบังคับให้เปลี่ยนรหัสผ่านเป็นประจำผู้ใช้จำนวนมากจะเลือกรหัสผ่านที่เป็นไปตามรูปแบบที่เป็นที่รู้จักมากเช่น สมมติว่าผู้ใช้ต้องการใช้ชื่อปุยแมวเป็นรหัสผ่าน พวกเขาอาจจะเริ่มต้นด้วยรหัสผ่านของfluffyแล้วเปลี่ยนไปfluffy1, fluffy2, fluffy3และอื่น ๆ ในกรณีนี้นโยบายไม่ได้ช่วยรักษาความปลอดภัย แม้ว่าผู้ใช้เลือกสตริงฐานที่ปลอดภัยกว่าfluffyและถึงแม้ว่าพวกเขาเก็บรหัสผ่านของพวกเขาปลอดภัยอย่างปลอดภัยตัวอักษรคำต่อท้ายเดียวที่เปลี่ยนแปลงทุก ๆ สองสามเดือนนั้นน้อยมากที่จะลดการโจมตีหรือการโจมตีทางวิศวกรรมสังคม

ดูเพิ่มเติมที่: การหมดอายุของรหัสผ่านถือว่าเป็นอันตรายบทความสั้น ๆ (ไม่ได้เขียนโดยฉัน) ซึ่งฉันคิดว่าจะช่วยแนะนำปัญหาเหล่านี้ได้ดี

องค์กรขนาดใหญ่ของฉัน (ผู้ใช้มากกว่า 15,000 คน) ใช้งาน "การเปลี่ยนรหัสผ่าน" ทุก ๆ 120 วันในฤดูใบไม้ร่วงปี 2009 มันเป็นเรื่องปวดหัวด้านไอทีครั้งใหญ่และสิ้นเปลืองทรัพยากรสนับสนุน ทุกครั้งที่หน้าต่าง 120 วันกลิ้งไปรอบ ๆ เรามีผู้ใช้หลายพันคนถูกบังคับให้เปลี่ยนรหัสผ่าน .... ซึ่งหลายคนทำไม่ถูกต้องและล็อคบัญชีของพวกเขา .... หรือลืมในวันถัดไป ฝ่ายให้ความช่วยเหลือของเราได้รับการโทรด้วยรหัสผ่านแม้ว่าเราจะพยายามให้บริการด้วยตนเองเท่าที่จะทำได้

หากคุณต้องการให้ผู้ใช้ / ลูกค้าของคุณเกลียดคุณ .... และพนักงานไอทีระดับแนวหน้าของคุณที่จะเผาไหม้คุณในทุกโอกาสที่พวกเขาได้รับ ... ใช้การเปลี่ยนแปลงรหัสผ่าน

นโยบายการเปลี่ยนรหัสผ่านเป็นช่องทำเครื่องหมายในตัวจัดการไอทีบางส่วนวิธีการจองที่ไหนสักแห่ง ... และมันถูกเขียนเมื่อ 15 ปีที่แล้ว ไม่มีใครในสนามเพลาะที่ใช้งานจริงหรือสนับสนุนนโยบายจะบอกคุณว่ามันเป็นความคิดที่ดี

ฉันทะเลาะกันที่นี่เพื่อ "ส่งผ่านวลี" แทนที่จะเป็นรหัสผ่าน .... มีไขมันมากมายที่ทำ ... แสงนั้นในตอนท้ายของอุโมงค์เป็นรถไฟที่กำลังจะมาถึง :)

วลีรหัสผ่านเป็นสตริงที่ยาวเกินคาดเดาได้ซึ่งง่ายต่อการจดจำเช่น "MyCatIsFromSpainAndICallHimElGato" หรืออาจจะเป็นบรรทัดจากบทกวีหรือเพลง

ถ้าคุณต้องการทำให้มันยากจริงๆที่จะถอดรหัส .... ยุ่งกับเคสเพิ่มเครื่องหมายวรรคตอนเปลี่ยนบางอย่างเป็น ells, ohs เป็นศูนย์, เป็น @, ฯลฯ ... แต่จำไว้ได้ ... . นั่นคือกุญแจสำคัญ มีหลายวิธีในการเลือกพวกเขาเพื่อให้พวกเขาไหลอย่างง่ายดายจากนิ้วมือของคุณไปยังคีย์บอร์ด .... ดังนั้นคุณจะไม่กระดอนไปมาระหว่างมือหรือด้วย SHIFTs และเครื่องหมายวรรคตอนแปลก ๆ

ดังนั้น...

• ใช้ "วลีรหัสผ่าน" แบบยาว
• ทดสอบภายในเพื่อความแข็งแรง
• ปรับใช้ "การลงชื่อเพียงครั้งเดียว" ในโครงสร้างพื้นฐานทั้งหมดของคุณเพื่อให้ลูกค้าใช้เพียงครั้งเดียวหรือสองครั้งต่อวัน
• อย่าบังคับให้เปลี่ยน
• และให้การศึกษาอบรมสั่งสอนการใช้อย่างถูกต้อง

ด้าน

แก้ไข: 8/24/2011 XKCDเห็นด้วยและบอกว่าดีกว่าที่ฉันทำ

เลขที่มีความคิดเห็นส่วนตัวของผมก็คือว่ามันไม่จำเป็นและแม้กระทั่งเคาน์เตอร์มีประสิทธิผล ฉันโวยวายกับบล็อกของฉัน แต่คุณสามารถตามล่าได้หากคุณสนใจ

กล่าวโดยสรุปคือเหตุผลสองประการ:

1. การบังคับให้ผู้ใช้เปลี่ยนรหัสผ่านของพวกเขาอย่างต่อเนื่องนำไปสู่รหัสผ่านที่ไม่ดี

จะไม่มีการขาดหลักฐานพอสังเขปเกี่ยวกับเรื่องนี้ แต่มันสมเหตุสมผลว่าถ้าฉันถูกบังคับให้จำสิ่งใหม่ทุก ๆ วันฉันจะทำให้สิ่งเหล่านั้นง่ายต่อการจดจำและอาจเกี่ยวข้องกัน

ผู้ใช้มักจะเลือกรหัสผ่าน "คาดเดาได้" เช่น "Jan2010" หรือ "Password05" หากพวกเขารู้ว่าจะต้องเปลี่ยนในไม่ช้า การบังคับใช้นโยบายที่เข้มงวดเกี่ยวกับตัวละครมีแนวโน้มที่จะส่งผลให้มีเครื่องหมายอัศเจรีย์ที่เพิ่มเข้ามาหรือชื่อที่สะกดเต็มแทนที่จะใช้ตัวย่อ มีความแตกต่างอย่างมากระหว่างรหัสผ่านที่ซับซ้อนทางเทคนิคและรหัสผ่านที่ไม่สามารถเดาได้

2. การบังคับให้เปลี่ยนรหัสผ่านเป็นประจำไม่ได้ป้องกันการโจมตี แต่เพียงช่วยลดความเสี่ยง (และไม่มาก)

ลองคิดดู - หากรหัสผ่านของคุณเดาหรือค้นพบว่าจะต้องใช้เวลานานเท่าไหร่ที่ผู้โจมตีจะใช้ข้อมูลนั้น ร่วมแข่งขันใส่รองเท้าของผู้โจมตี คุณเพิ่งค้นพบรหัสผ่าน คุณจะไม่เข้าสู่ระบบและดึงข้อมูลทุกบิตที่คุณสามารถทำได้ทันทีในกรณีที่มีคนรู้หรือไม่? ในเวลา 30 วันคุณได้รับทุกสิ่งที่คุณต้องการแล้ว

คำแนะนำของฉัน:

• บังคับใช้นโยบายรหัสผ่านที่เข้มงวดอย่างยิ่ง (เช่น 15 ตัวอักษรที่มีตัวพิมพ์ใหญ่ตัวพิมพ์เล็กตัวเลขและอักขระพิเศษโดยไม่มีคำภาษาอังกฤษ> 3 ตัวอักษร)
• อย่าทำให้ผู้ใช้เปลี่ยนรหัสผ่าน หากพวกเขาต้องเขียนรหัสผ่านบนกระดาษและเก็บไว้ในกระเป๋าเงินของพวกเขานั่นเป็นเรื่องจริง ผู้คนเก่งในเรื่องการรักษาความปลอดภัยของกระดาษ แต่ก็ไม่ค่อยดีนักในการจดจำสายอักขระแบบสุ่ม

จากมุมมองของผู้ใช้การเปลี่ยนรหัสผ่านของฉันนั้นไม่สะดวกอย่างไม่น่าเชื่อ ฉันเกลียดที่จะต้องทำอย่างนั้นและจะใช้เว็บไซต์ที่ฉันต้องการอย่างยิ่งหากพวกเขาต้องการให้ฉันเปลี่ยนรหัสผ่านของฉัน

นอกจากนี้ยังมีการพูดคุยกันว่านี่เป็นวิธีปฏิบัติที่ดีจริง ๆ หรือไม่เนื่องจากบางคนลงเอยด้วยการเขียนรหัสผ่านเพื่อจำได้

คุณสามารถใช้หนึ่งในวิดเจ็ตเหล่านั้นที่แสดงให้ผู้คนเห็นว่ารหัสผ่านของพวกเขาแข็งแรงแค่ไหน (หรืออ่อน) ในขณะที่พวกเขากำลังกรอกข้อมูลลงไป - ฉันพบว่ามันมีประโยชน์ (sorta) ถึงแม้ว่าฉันไม่รู้ว่าจริงหรือไม่ รหัสผ่าน

ในฐานะผู้ใช้สภาพแวดล้อมนโยบายรหัสผ่านที่ค่อนข้างเข้มงวด ("ยากแก่การเดารหัสผ่าน" และการเปลี่ยนรหัสผ่านเหมือนกัน) ความคิดเห็นของฉันก็คือต้องการเพียงรหัสผ่านยาก แม้ว่าจะต้องใช้เวลาสักหน่อยก่อนที่ผู้ใช้ของคุณจะคุ้นเคย (โดยเฉพาะหากเป็นผู้ใช้ 12345 คน) พวกเขาควรจะสามารถเรียกคืนและพิมพ์ได้อย่างง่ายดายภายในหนึ่งสัปดาห์

อย่างไรก็ตามฉันสามารถทำนายผู้ใช้ปลายทางที่ไม่สบายใจได้หากคุณมีรหัสผ่านที่คาดเดายากและบังคับให้พวกเขาเปลี่ยน

จากมุมมองการบริหารระบบไอทีตัวเลือกที่ดีที่สุดของคุณคือการตรวจสอบความเป็นไปได้ในการให้แอปพลิเคชันของคุณใช้ความสามารถในการลงชื่อเข้าใช้ครั้งเดียวของรูปแบบการตรวจสอบสิทธิ์เดิมที่ลูกค้าของคุณใช้ เห็นได้ชัดว่า Active Directory เป็นผู้เล่นตัวยง แต่ถ้าแอปพลิเคชันของคุณทำงานกับนโยบายที่แผนกไอทีขององค์กรกำหนดไว้แล้วคุณไม่ต้องกังวลเกี่ยวกับการปรับเปลี่ยนวงล้อ

ตั้งแต่การอภิปรายมากถูกตัดขึ้นหรือไม่เกี่ยวกับการเปลี่ยนแปลงรหัสผ่านบังคับใช้เป็นความคิดที่ดี ( แต่ผมคิดว่าเป็นรองคำถามหลักของคุณ) ฉันคิดว่าคุณอาจจะสนุกกับบางส่วนของความคิดและการเชื่อมโยงที่นี่ สำหรับสถานการณ์ส่วนใหญ่หากคุณไม่ต้องการบังคับใช้ความซับซ้อนของรหัสผ่าน & เปลี่ยนตารางเวลาคุณอาจไม่มีรหัสผ่านเลย - แต่วิธีการใช้งาน (การฝึกอบรมการสนับสนุนการจัดการและอื่น ๆ ) มีความสำคัญมากกว่าที่ฉันสามารถทำได้

การเปลี่ยนรหัสผ่านบ่อยครั้งอาจทำให้ผู้ใช้จดบันทึกไว้ ซึ่งไม่ได้เป็นความคิดที่ไม่ดีตาม Bruce Schneier ( http://www.schneier.com/blog/archives/2005/06/write_down_your.html )

ฉันยังยืนยันว่าการรักษาความปลอดภัยในการใช้งานบางครั้งอาจเป็นสิ่งที่ดีเพียงเพราะมันเตือนให้ผู้ใช้ดำเนินการอย่างปลอดภัย ตัวอย่างเช่นในธนาคารที่ฉันทำงานมาตรการรักษาความปลอดภัยในสถานที่จำนวนมากคือโรงละครรักษาความปลอดภัย (ตัวอย่างเช่นการจดจำใบหน้าที่ประตู แต่เจ้าหน้าที่รักษาความปลอดภัยจะเปิดประตูให้คุณหากการจดจำล้มเหลว) ในขณะที่มาตรการเหล่านั้นไม่ได้ปรับปรุงความปลอดภัยด้วยตัวเองพวกเขาก็อยู่ที่นั่นเสมอเพื่อเตือนเราว่าการรักษาความปลอดภัยเป็นเรื่องสำคัญอย่างยิ่งในที่ทำงานมีจำนวนการบันทึกและการตรวจสอบที่เกิดขึ้นและหากคุณถูกจับทำสิ่งที่ "ไม่ปลอดภัย" จะมีปัญหา

แน่นอนว่าสิ่งนี้นำไปใช้กับความปลอดภัยสำหรับพนักงานของธนาคารอาจไม่สามารถใช้กับผู้ใช้เว็บไซต์ของคุณ ...

คุณควรบังคับให้ผู้ใช้ของคุณเปลี่ยนทุก ๆ วันหากนโยบายความปลอดภัยของคุณต้องการ ฉันทำงานให้กับหน่วยงานของรัฐและนี่เป็นข้อกำหนดที่บังคับใช้จากสำนักงานผู้สอบบัญชีของรัฐ ฉันไม่สามารถทำอะไรเกี่ยวกับเรื่องนี้ได้ดังนั้นฉันต้องบังคับให้มีการเปลี่ยนแปลง

หากคุณไม่ผูกพันตามข้อบังคับในการบังคับให้เปลี่ยนรหัสผ่านอย่าบังคับพวกเขา ตรวจสอบให้แน่ใจว่ารหัสผ่านที่ได้รับการตั้งค่าตรงตามข้อกำหนดขั้นต่ำที่ซับซ้อน ความยาวสำคัญกว่าความซับซ้อนสำหรับระบบรหัสผ่านส่วนใหญ่ดังนั้นมาตรฐานตัวแปรจึงเป็นตัวเลือกที่ดีที่สุดในความคิดของฉัน เช่น:

• รหัสผ่านจะต้องไม่น้อยกว่า 10 ตัวอักษร
• รหัสผ่านระหว่าง 10-25 ตัวอักษรจะต้องมีอย่างน้อย 3 ชุดตัวอักษร
• รหัสผ่านระหว่าง 25-40 ตัวอักษรจะต้องมีอย่างน้อย 2 ชุดตัวอักษร
• รหัสผ่านที่ยาวเกิน 40 ตัวอักษรอาจใช้ชุดอักขระเดียว

โครงร่างความซับซ้อนในตัวสำหรับสิ่งต่าง ๆ เช่น Active Directory ไม่สนับสนุนระบบที่ทำเป็นชั้นนี้ หากคุณสร้างสภาพแวดล้อมการเปลี่ยนรหัสผ่านของคุณเองคุณสามารถทำสิ่งนี้ได้ เนื่องจากการใช้ปุ่ม shift แต่ละครั้งจะเพิ่มโอกาสของเหตุการณ์ไขมันนิ้วรหัสผ่านยาวที่มีชุดอักขระจำนวนมากมีแนวโน้มที่จะเกิดเหตุการณ์การล็อกอินล้มเหลวโดยเฉพาะในช่วงการเรียนรู้ หากคุณมีระบบปิดบัญชีอยู่สิ่งนี้อาจเป็นปัญหาใหญ่ สำหรับผู้ที่ใช้บทกวีบรรทัดที่ 3 (63 ตัวอักษร!) เป็นวลีรหัสผ่านโดยไม่ต้อง h @ x0r มันทำให้การเข้าใช้นั้นรวดเร็วและมีประสิทธิภาพ

หากเทคโนโลยีหรือสภาพแวดล้อมที่มีความเสี่ยงเปลี่ยนไปอย่างมีนัยสำคัญและรหัสผ่านของคุณไม่ซับซ้อนเท่าที่ควรควรทำเพื่อให้รหัสผ่านหมดอายุในช่วงระยะเวลาหนึ่ง ผู้คนจะคร่ำครวญถึงความจำเป็นโดยเฉพาะอย่างยิ่งหากคุณไม่เคยถูกบังคับให้เปลี่ยนแปลง แต่มันจะช่วยรักษาความปลอดภัยของคุณ

รหัสผ่านที่เดายากเป็นสิ่งที่ดี การบังคับใช้ระดับความซับซ้อนที่ทำให้ผู้ใช้ลืมรหัสผ่านหรือต้องจดบันทึกไว้เป็นสิ่งที่ไม่ดีเพราะความปลอดภัยใด ๆ ที่ได้รับจากความซับซ้อนนั้นหายไปในกระบวนการ ในโลกอุดมคติ (ซึ่งน่าเสียดายที่ไม่ใช่ที่ที่เราอาศัยอยู่) ควรมีการแลกเปลี่ยนความสมดุลระหว่างความซับซ้อนและการใช้งาน แน่นอนว่าคนอื่นจะเห็นจุดสมดุลในสถานที่ต่างกัน

ตรรกะที่อยู่เบื้องหลังการเปลี่ยนรหัสผ่านเป็นประจำใน X วันนั้นจะหายไปเล็กน้อย เหตุผลที่ฉันมักจะได้ยินเรื่องนี้คือการ จำกัด ประโยชน์ของรหัสผ่านที่ถูกขโมยซึ่งฉันตอบว่าความเสียหายที่แท้จริงใด ๆ จะเกิดขึ้นภายในสองสามชั่วโมงแรก เช่น Fred "จะคุ้นเคยกับ" รหัสผ่านของ Mary หากเกิดขึ้นในเวลาเดียวกันกับที่แมรีเปลี่ยนรหัสผ่านมันจะมีความแตกต่างอะไรถ้ามันเปลี่ยนไปในวันพรุ่งนี้หรือเดือนถัดไป เป็นไปได้หรือไม่ที่เฟรดจะรออีกหนึ่งหรือสองสัปดาห์ก่อนที่จะใช้รหัสผ่าน (สมมติว่าเป็นเจตนาทั้งหมด)

การเปลี่ยนรหัสผ่านอย่างชัดเจนหากมีเหตุผลหรือข้อสงสัยว่าอาจจำเป็นต้องมีเรื่องอื่นทั้งหมด

หากแอปพลิเคชันต้องการระบบความปลอดภัยระดับสูงคุณเคยพิจารณาใช้สิ่งใดอย่างเช่นโทเค็น SecurID หรือไม่? ผู้ใช้จะได้รับรหัสผ่านใหม่ทุก ๆ 60 วินาที คุณไม่ต้องกังวลกับการใช้รหัสผ่านในการจดบันทึก อย่างไรก็ตามสิ่งเหล่านี้ทำเงินค่าใช้จ่าย การแก้ปัญหาต้องมีความปลอดภัยเพียงใด?

ฉันคิดว่าข้อมูลที่ผู้ใช้มีความสำคัญอธิบายให้พวกเขาทราบถึงวิธีการสร้างรหัสผ่านและความสำคัญที่จะไม่ใช้รหัสผ่านเดียวกันสองครั้ง วิธีง่ายๆในการสร้างรหัสผ่านคือการใช้ประโยคและจดตัวอักษรตัวแรกในทุกคำและเพิ่มตัวเลข

อดีต ฉันชอบที่จะปกครองโลก = Iltrw99

อย่าบังคับให้พวกเขาเปลี่ยนรหัสผ่านมันจะทำให้พวกเขาสับสนเท่านั้น

แม้ว่าฉันจะไม่เห็นด้วยกับการเปลี่ยนรหัสผ่านทุกสามเดือนนี่เป็นข้อกำหนดหาก บริษัท ของคุณมีการซื้อขายต่อสาธารณะและเป็นส่วนหนึ่งของการปฏิบัติตาม SOX หมายเหตุด้านข้าง: Sarbanes-Oxley ดูด

สิ่งที่ฉันไม่ได้เห็นกล่าวถึงคือการเข้าถึงทรัพยากรจากภายนอก

ฉันมักจะเห็นด้วยว่าถ้าคุณเลือกนโยบายรหัสผ่านที่สมเหตุสมผลเว้นแต่มีคนเขียนไว้ว่าไม่มีใครมีแนวโน้มที่จะเดารหัสผ่านนั้น

อย่างไรก็ตามสมมติว่าคุณมีเว็บเมล์ที่สามารถเข้าถึงได้นอกสถานที่ตอนนี้คุณอาจให้ผู้ใช้พิมพ์ข้อมูลประจำตัวของพวกเขาใน "พีซีเก่า" และ IMO ที่เพิ่มความเสี่ยงต่อข้อมูลธุรกิจของคุณโดยสปายแวร์ / มัลแวร์ / โทรจัน .

ถ้าคนเขียนรหัสผ่านง่าย ๆ อะไรที่ทำให้คุณคิดว่าพวกเขาจะไม่เขียนข้อความรหัสผ่านขนาดใหญ่หรือรหัสผ่านที่ซับซ้อนสุด ๆ การเปลี่ยนแปลงรหัสผ่านที่เพิ่มขึ้นใดที่ควรทำคือการกำจัด ID ผู้ใช้ที่ไม่ได้ใช้งานโดยอัตโนมัติอีกต่อไปและจะช่วยให้ผู้ใช้แต่ละคนมีความรับผิดชอบในเรื่องนี้ทั้งหมด ผู้คนจะเป็นคนที่กำลังมองหาหนทางที่ง่ายต่อการทำอะไรบางอย่างให้สำเร็จ รหัสผ่านซ้ำแล้วซ้ำอีกและรหัสผ่านที่เปลี่ยนแปลงเพิ่มขึ้นสามารถตรวจพบและปฏิเสธ ความต้องการด้านความซับซ้อนสามารถถูกบุกรุกได้การเปลี่ยนรหัสผ่านแบบบังคับยังสามารถทำให้ผู้ใช้ที่ไม่ใช่ฝ่ายไอทีเป็นผู้รับผิดชอบในเรื่องทั้งหมดนี้ ผู้ใช้ส่วนใหญ่ที่บ่นเกี่ยวกับการเปลี่ยนรหัสผ่านเป็นคนขี้เกียจที่ทำท่าการเปลี่ยนรหัสผ่านเหมือนการผ่าตัดหัวใจแบบเปิด หยุดเสียงหอนเป็นผู้รับผิดชอบและหยุดพยายามหาถนนง่าย ๆ