ฉันพบในหลายกรณีการบังคับให้ผู้ใช้เปลี่ยนรหัสผ่านของพวกเขาเป็นประจำจะกลายเป็นเรื่องยุ่งยากในการบำรุงรักษามากกว่าความช่วยเหลือด้านความปลอดภัย นอกจากนี้ฉันเห็นผู้ใช้เขียนรหัสผ่านใหม่ลงเนื่องจากพวกเขาไม่มีเวลาพอที่จะจำรหัสผ่านและไม่สามารถเรียนรู้รหัสใหม่อีกครั้งได้
ประโยชน์ด้านความปลอดภัยอะไรที่บังคับให้เปลี่ยนรหัสผ่าน?
คำตอบ:
นี่คือสิ่งที่แตกต่างจากไดอารี่ SANS:
กฎรหัสผ่าน: เปลี่ยนทุก ๆ 25 ปี
มีประโยชน์ในทางปฏิบัติอย่างหนึ่งคือ หากใครบางคนมีรหัสผ่านของคุณและสิ่งที่พวกเขาต้องการคือการอ่านอีเมลของคุณและไม่ถูกตรวจสอบพวกเขาสามารถทำได้ตลอดไปจนกว่าคุณจะเปลี่ยนความลับในการลงชื่อเข้าใช้ ดังนั้นการเปลี่ยนรหัสผ่านเป็นประจำไม่ได้ช่วยอะไรมากกับคนที่บุกเข้ามาและทำให้มันเป็นสินค้าของคุณ แต่มันก็ให้โอกาสคุณที่จะสะบัด stalkers หรือ snoopers ที่คุณอาจเข้าถึงบัญชีของคุณ ใช่นี่เป็นสิ่งที่ดี แต่ไม่ว่าประโยชน์นี้เพียงอย่างเดียวคุ้มค่ากับความยุ่งยากและข้อเสียเปรียบดังกล่าวในการบังคับให้ผู้ใช้เปลี่ยนรหัสผ่านทุก 90 วันฉันมีข้อสงสัย
บังคับให้เปลี่ยนรหัสผ่านเมื่อคุณเดารหัสผ่าน (โดยเรียกใช้โปรแกรมเดารหัสผ่านกับผู้ใช้ของคุณตลอดเวลา)
เป็นการยากที่จะโต้แย้งว่า "คุณต้องเปลี่ยนรหัสผ่าน" เมื่อคำตอบคือ "ทำไม" คือ "เพราะเราสามารถเดาได้ว่าตาบอด" มันจะให้รางวัลแก่ผู้ที่เลือกรหัสผ่านที่คาดเดายากและสอนผู้ใช้ของคุณว่ารหัสผ่านใดที่อ่อนแอ หากพวกเขาเลือก "รหัสผ่าน 1" มันจะหมดอายุก่อนที่พวกเขาจะสามารถเข้าสู่ระบบครั้งเดียว หากผู้ใช้เลือกรหัสผ่าน 16 ตัวอักษรสุ่มผสมตัวอักษรและตัวเลขคุณจะไม่เดาเลยและจะไม่มีใครอื่น ปล่อยให้มันใช้เวลานานมากและพวกเขาก็จะสามารถจดจำได้
มันเป็นการแลกเปลี่ยน การขอให้เปลี่ยนรหัสผ่านบ่อยครั้งจะส่งผลให้รหัสผ่านคุณภาพต่ำลง แม้จะมีการวิจัยถึงผลกระทบนี้
ดังที่กล่าวไว้วิธีเดียวที่เชื่อถือได้ที่ฉันได้พบเพื่อป้องกันผู้ใช้จากการแชร์รหัสผ่านคือต้องเปลี่ยนรหัสผ่านเป็นระยะ ประสบการณ์ของฉันแสดงให้เห็นว่า 90 วันน่าจะเป็นการประนีประนอมระหว่างการใช้งานและความปลอดภัย หากคุณใช้เวลานานกว่านี้ผู้คนจะเริ่มใช้รหัสผ่านที่ใช้ร่วมกันได้เร็วขึ้นและคุณจะจบลงด้วย "November09", "December09"
สิ่งที่แย่ที่สุดเกี่ยวกับการบังคับให้เปลี่ยนรหัสผ่านไม่ใช่ว่าคุณทำให้คนเปลี่ยนรหัสผ่าน ปกติแล้วมันจะมาพร้อมกับการเตือนเล็กน้อยหรือไม่มีเลยและพวกเขาจะพบปัญหาทันทีที่พวกเขาต้องจัดการทันทีดังนั้นแทนที่จะให้เวลากับใครสักคนที่จะคิดรหัสผ่านที่ดีมันมีแนวโน้มที่จะเป็นรหัสที่ปลอดภัยน้อยกว่า แต่ง่ายต่อการจดจำหรือความปลอดภัยที่มากขึ้น แต่เพิ่งถูกจดลงไปดังนั้นจึงทำให้ได้เปรียบด้านความปลอดภัย
หากรหัสผ่านมีความซับซ้อนเพียงพอที่ไม่สามารถคาดเดาได้ง่ายและไม่ได้ใช้ร่วมกันระหว่างระบบและไม่น่าเป็นไปได้ว่ารหัสผ่านจะถูกบุกรุกการเปลี่ยนรหัสผ่านอาจไม่ใช่สิ่งที่สำคัญทั้งหมด
อย่างไรก็ตามสิ่งเหล่านี้ควรจะเกิดขึ้นและสองคนแรกอาจเป็นเรื่องธรรมดามากกว่าไม่บังคับให้คนเปลี่ยนรหัสผ่านเป็นระยะหมายความว่าพวกเขามีโอกาสน้อยที่จะแบ่งปันรหัสผ่านอย่างน้อย
ที่กล่าวว่าฉันจะเลือกให้ความรู้แก่ผู้ใช้ของคุณเกี่ยวกับความหมายของรหัสผ่านที่ดีและทำไมจึงไม่ดีที่จะแชร์รหัสผ่านเหล่านั้น การจดบันทึกเป็นเรื่องธรรมดาไม่ว่าคุณจะทำอะไร
ฉันแนะนำให้ผู้คนเลือกรหัสผ่านจากหนังสือที่พวกเขารู้จักโดยจดจำคำพูดที่ไม่คุ้นเคยจากบางคำหรือสร้างวลี ใช้ตัวอักษรตัวแรกจากแต่ละคำและเพิ่มตัวเลขสองตัวข้างในนั้น คนส่วนใหญ่จำได้ว่าหลังจากพิมพ์ไปแล้วสองสามครั้ง
ฉันไม่เห็นประโยชน์ในการฝึกเลย
รหัสผ่านที่คาดเดายากมีความสำคัญมากกว่า โดยที่แข็งแกร่งฉันหมายถึงสัญลักษณ์พิเศษ + ตัวอักษรและตัวเลข 9+ หรือ 15+ [az] - รหัสผ่าน / วลีที่ไม่ใช่พจนานุกรมเท่านั้น
ระบบที่เข้าถึงจากระยะไกลจะต้องมีซอฟต์แวร์ตรวจจับและป้องกัน Bruteforce (เช่น fail2ban) ในบริการที่เปิดเผยทั้งหมด นี่เป็นสิ่งที่สำคัญกว่า IMO มากกว่านโยบายการเปลี่ยนรหัสผ่านปกติ
ปัญหาพื้นฐานคือรหัสผ่านที่เป็นกลไกความปลอดภัยเหม็น
หากคุณขอให้ผู้คนเปลี่ยนแปลงบ่อยๆพวกเขาจะเขียนลงไป หากคุณขอให้พวกเขาใช้รหัสผ่าน 30 ตัวอักษรที่มีตัวเลขอย่างน้อย 3 ตัวอักษรตัวพิมพ์ใหญ่ 4 ตัวและอักขระควบคุมพวกเขาจะลืมหรือเขียนลงไปหรือทำสิ่งโง่ ๆ หากพวกเขาง่ายผู้ใช้จะใช้รหัสผ่านโง่เช่น bunny7 หรือ Bunny7 และพวกเขาจะใช้รหัสผ่านที่ไม่ดีเหมือนกันสำหรับทุกสิ่งรวมถึงบัญชีโป๊และบัญชี Hotmail ของพวกเขา
ฉันชอบเครื่องมือเช่นMobile OTPซึ่งอนุญาตให้ผู้ใช้ใช้โทรศัพท์มือถือเป็นเครื่องมือตรวจสอบสิทธิ์แบบสองปัจจัย
ในระยะยาวอาจเป็นไปได้ว่าเราจะลงจอดในโลกที่มี certs เข้ารหัสเป็นกลไกการระบุผู้ใช้ สิ่งต่าง ๆ เช่นOpenIDและCASช่วยให้การรับรองความถูกต้องของผู้ใช้ง่ายขึ้นและอนุญาตการลงชื่อเข้าใช้ครั้งเดียวที่สะดวกสบาย
ในระยะยาวทางออกที่ดีที่สุดคือลดจำนวนครั้งที่ผู้ใช้ต้องออกใบรับรอง - กำจัดรหัสผ่าน "HR" และรหัสผ่าน "time-sheet" และรหัสผ่าน "CRM" รวมเข้าด้วยกันเป็นโครงสร้างพื้นฐานการรับรองความถูกต้องทั่วไปที่ต้องการให้ผู้ใช้ออกหนังสือรับรองของพวกเขาครั้งเดียว จากนั้นให้พวกเขาใช้บางอย่างเช่น MobileOTP หรือRSA SecurIDที่ใช้การรับรองความถูกต้องด้วยสองปัจจัย
ในระยะสั้นนโยบายรหัสผ่านจะเป็นหัวข้อของสงครามศาสนา เพียงทำสิ่งที่หัวหน้าของคุณขอให้คุณและถ้าคุณเป็นหัวหน้าให้ใช้วิจารณญาณของคุณตามฐานผู้ใช้และโปรไฟล์ความปลอดภัยที่คาดหวัง
โชคดี!
การฝึกฝนนี้ซึ่งไม่ได้ไร้ประโยชน์โดยสิ้นเชิงนั้นมีความสำคัญมากมานานแล้ว การถกเถียงกันในเรื่องนโยบายนี้เป็นสิ่งที่ต่อต้านได้จริงเพราะมันเบี่ยงเบนความสนใจจากภัยคุกคามในปัจจุบันที่มีความร้ายแรงมากกว่า
พิจารณา:
หากคุณใช้ Windows / AD และบัญชีไม่มีช่องทำเครื่องหมายสำหรับ "บัญชีมีความละเอียดอ่อนและไม่สามารถมอบหมาย" บัญชีนั้นสามารถใช้ผ่านการรับบทบาทโดยไม่ต้องมีรหัสผ่าน รหัสการทำเช่นนี้เล็กน้อย
ถ้าเวิร์กสเตชัน windows ของบุคคลนั้นถูกโจมตีจากความเสี่ยงด้านความปลอดภัยโทเค็นความปลอดภัยของ windows ในหน่วยความจำสามารถใช้เพื่อเข้าถึงคอมพิวเตอร์เครื่องอื่นได้ อีกครั้งไม่จำเป็นต้องใช้รหัสผ่าน
วิธีที่สองนั้นคือเหตุผลที่คุณควรเข้าถึงเซิร์ฟเวอร์โดยใช้บัญชีที่แตกต่างจากบัญชีผู้ใช้ทั่วไปประจำวันของคุณเท่านั้น นอกจากนี้โปรดทราบว่าสถานการณ์ทั้งสองนั้นเอาชนะได้อย่างสมบูรณ์แม้กระทั่งกลไกการตรวจสอบสิทธิ์แบบสองปัจจัยที่แข็งแกร่งที่สุด
สิ่งที่ดีที่สุดที่อาจเกิดขึ้นเกี่ยวกับความปลอดภัยของรหัสผ่านคือการหยุดการโต้วาทีและมุ่งเน้นไปที่ภัยคุกคามร่วมสมัยและจริงจังมากขึ้น
ข้อมูลมากกว่านี้:
ตรวจสอบการนำเสนอของลุคเจนนิงส์ "โทเค็นเดียวที่จะปกครองพวกเขาทั้งหมด":
http://eusecwest.com/esw08/esw08-jennings.pdf
Insomnia Shell - ตัวอย่างของรหัสที่จำเป็นในการประนีประนอมโทเค็นบนเซิร์ฟเวอร์ ASP.Net:
http://www.insomniasec.com/releases/tools
วิธีการ: ใช้การเปลี่ยนโพรโทคอลและการมอบหมายที่มีข้อ จำกัด ใน ASP.NET 2.0
http://msdn.microsoft.com/en-us/library/ms998355.aspx
ค้นหา "ไม่มีรหัสผ่าน"
รหัสผ่านอีกต่อไปจะไม่เปลี่ยนแปลงโอกาสที่จะถูกบุกรุกมากขึ้นเพียงเพราะจะมีโอกาสมากขึ้นสำหรับสถานการณ์ที่อาจเกิดการบุกรุกได้ (ให้เวลาไม่ จำกัด จำนวนเวลาที่เป็นไปได้) นอกจากนี้ยังทำให้การเปลี่ยนแปลงในอนาคตยากขึ้นเนื่องจากผู้ใช้จะคุ้นเคยกับสิ่งเก่า ความเสี่ยงต่อไปคือถ้ามันถูกบุกรุกและผู้ใช้ไม่ได้ตระหนักถึงความจริงที่ว่ามีความเป็นไปได้ที่จะมีการใช้บัญชีของผู้ใช้ในทางที่ผิดอย่างจริงจัง อย่างน้อยการเปลี่ยนแปลงเป็นระยะจะลดน้อยลงเนื่องจากการเปลี่ยนรหัสผ่านที่บังคับใช้ครั้งถัดไปจะทำให้รหัสผ่านที่ถูกบุกรุกใช้งานไม่ได้
จากประสบการณ์ของฉันสถานการณ์ที่เป็นไปได้มากที่สุดที่จะทำให้ผู้ใช้งานเขียนรหัสผ่านลงคือการขาดความคิดแบบร่วมในโครงสร้างพื้นฐานความปลอดภัยของคุณเช่นการมีระบบที่แตกต่างกันหลายระบบซึ่งต้องการชื่อผู้ใช้และรหัสผ่าน โยน 5 คนที่ผู้ใช้และคุณจะได้รับซินโดรมโน้ตสีเหลืองกับการแก้แค้น
นโยบายรหัสผ่านที่สมเหตุสมผลซึ่งอนุญาตให้ผู้ใช้เลือกรหัสผ่านที่จดจำง่าย แต่ยากที่จะถอดรหัสประกอบกับการให้ความรู้แก่ผู้ใช้ที่ดีการรับรองความถูกต้องแบบบูรณาการบางอย่างและนโยบายการล็อคและการหมดอายุที่เหมาะสม วิธีที่ดีที่สุด
หากคุณแคชข้อมูลประจำตัว (ซึ่งคนส่วนใหญ่ทำเพื่อความพร้อมใช้งาน) นี่เป็นสิ่งจำเป็น หากคอมพิวเตอร์ถูกขโมยทางกายภาพและเปิดใช้งานการแคชข้อมูลประจำตัวขโมยอาจสามารถบังคับให้เครื่องออกจากเครือข่ายโดยไม่ต้องกลัวว่าจะมีการเปิดใช้งานนโยบายการล็อคบัญชี พวกเขามีข้อมูลประจำตัวที่ถูกต้องไปยังทรัพยากรเครือข่ายของคุณ การเปลี่ยนรหัสผ่านเหล่านี้เป็นระยะ ๆ สามารถช่วยลดความเสียหายนี้ได้
นี่คือเหตุผลที่แน่นอนที่คุณไม่เคยลงชื่อเข้าใช้ด้วยบัญชีผู้ใช้ที่มีสิทธิ์คุณจะเข้าสู่ระบบในฐานะผู้ใช้ที่ จำกัด และเพิ่มการแจ้งเตือนแต่ละครั้งซึ่งจะช่วยป้องกันข้อมูลประจำตัวที่มีสิทธิ์พิเศษจากการถูกเดรัจฉาน
ฉันเข้าค่ายไม่ต้องเปลี่ยนรหัสผ่าน หรืออย่างที่บทความบอกว่า - ทุก ๆ 25 ปี - ใช่ฉันจะตายแล้ว ดี. นี่คือเหตุผลที่ ... ฉันมี 12 รหัสผ่านเพื่อจำที่งานของฉัน ส่วนใหญ่เปลี่ยนแปลงและเปลี่ยนแปลงที่อยู่ในตารางที่แตกต่างกันโดยสิ้นเชิง พวกเขาทั้งหมดมีข้อกำหนดด้านความแข็งแรงที่แตกต่างกัน มนุษย์ที่อ่อนแอสามารถรับมือกับสิ่งนี้ได้อย่างไร หลายวิธีที่ฉันเห็น: เขียนลงบนกระดานไวท์บอร์ด เขียนลงบนกระดาษและเก็บไว้ในลิ้นชักปลดล็อค หรือวิธีที่ฉันชอบ: เก็บไว้ในกระดาษคำนวณ google doc ที่ไม่ปลอดภัย ไม่มีทางที่คุณจะสามารถโน้มน้าวฉันได้ว่าวิธีการใด ๆ เหล่านี้ (ซึ่งเป็นเรื่องธรรมดามาก) ไม่ได้ชดเชยผลประโยชน์ด้านความปลอดภัยเล็ก ๆ ทั้งหมดที่ได้รับจากการเปลี่ยนแปลง
ฉันมีเวลาเขียนโพสต์นี้เพราะฉันกำลังรอใครบางคนในฝ่ายสนับสนุนด้านไอทีเพื่อปลดล็อกหนึ่งในบัญชีของฉัน เห็นได้ชัดว่าฉันไม่ได้อัปเดตสเปรดชีตอย่างถูกต้องเป็นครั้งสุดท้าย มีการศึกษาที่คำนวณพันล้านดอลลาร์ที่หายไปจากเรื่องไร้สาระนี้หรือไม่?