ฉันได้รับมอบหมายให้รวบรวมนโยบายความปลอดภัยของ บริษัท ส่วนหนึ่งของสิ่งนี้คือฉันต้องการกำหนดรหัสผ่านที่เหมาะสม แต่ปลอดภัย (ความยาวอักขระ ฯลฯ ) ความถี่ที่ควรเปลี่ยนความยาวของประวัติรหัสผ่านและอื่น ๆ
เห็นได้ชัดว่าฉันต้องรักษาความปลอดภัยให้สมดุลกับการใช้งานจริง
คนทั่วไปคิดว่านโยบายรหัสผ่านที่ดีคืออะไร
คำตอบ:
Wikipedia มีบทสรุปที่ดีในหัวข้อนี้
การปฏิบัติรหัสผ่านทั่วไปนโยบายรหัสผ่านมักจะมีคำแนะนำเกี่ยวกับการจัดการรหัสผ่านที่เหมาะสมเช่น:
คำแนะนำจาก TU Delft :
ลักษณะของรหัสผ่านที่ยอมรับได้
แนวทางปฏิบัติที่ดีที่สุดสำหรับการปกป้องรหัสผ่าน
ด้วยการแพร่กระจายของ keyloggers และการโจมตีแบบฟิชชิงอาจทำให้องค์กรของคุณต้องพิจารณาทางเลือกในการใช้รหัสผ่านที่ "แข็งแกร่ง" ดูบล็อกของ Bruce Schneierเกี่ยวกับกระดาษDo Strong Web Passwords ทำอะไรให้สำเร็จหรือไม่
ฉันขอแนะนำอย่างยิ่งให้ใช้การตรวจสอบสิทธิ์แบบสองปัจจัย ระหว่างฟุตบอล SecureID และYubikeyมันง่ายมากและไม่แพงนักเมื่อใช้ปัจจัยการรับรองความถูกต้องที่สอง
ฉันชอบรหัสผ่านสำหรับการติดตามรหัสผ่าน
คำแนะนำของฉัน:
ส่งเสริมการใช้วลีไม่ใช่คำพูด วลีไร้สาระที่ประกอบไปด้วยคำศัพท์ 3-4 คำนั้นง่ายต่อการจดจำมากกว่า 8 อักขระที่อ่านไม่ออก
ตั้งค่าอายุการใช้งานสูงสุดที่เหมาะสม ตั้งแต่ 3 ถึง 6 เดือน
อย่าพึ่งพา 1337 พูดเพื่อป้องกันรหัสผ่าน Brute Force Dictionary Attack เช่นCrackได้ทำการเปลี่ยนแปลงตัวอักษร -> ตัวเลขเป็นเวลาเกือบ 20 ปีแล้ว แต่ต้องใช้ตัวอักษรตัวเลขตัวพิมพ์ใหญ่และตัวพิมพ์เล็กและเครื่องหมายวรรคตอน
อย่าพึ่งพาคำศัพท์ที่ไม่ใช่ภาษาอังกฤษเพื่อความปลอดภัย คนโง่สามารถโหลดพจนานุกรมหลายเล่มลงในโปรแกรม ไม่สำคัญว่าเขาจะพูดภาษาได้หรือไม่
สำหรับสิ่งของส่วนตัวฉันใช้
คุณต้องเลือกความถี่ "เหมาะสม" สำหรับความถี่ที่ควรเปลี่ยน เร็วเกินไปและผู้คนจะเสื่อมสภาพลง<old_password>+<number>(หรือสิ่งที่คล้ายกัน) ดังนั้นช้าและคุณเพิ่มความเสี่ยงของรหัสผ่านที่ถูกบุกรุก มันอาจคุ้มค่าที่จะตรวจสอบว่ามีกฎที่คุณสามารถตั้งค่าเพื่อป้องกันสิ่งนี้
คุณจำเป็นต้องมีกฎที่ระบุว่ารหัสผ่านไม่สามารถนำมาใช้ซ้ำสำหรับการเปลี่ยนแปลงจำนวนมาก (อาจเป็น 10) เพื่อให้ผู้คนไม่ได้แลกเปลี่ยนระหว่างสอง (หรือสาม) รหัสผ่านสำหรับบัญชีของพวกเขา
ทำรหัสผ่านอย่างน้อยตัวอักษรและตัวเลขอย่างน้อยหนึ่งตัวพิมพ์ใหญ่ เพื่อเพิ่มความปลอดภัยให้มากขึ้นเล็กน้อยต้องมีอักขระที่ไม่ใช่ตัวอักษรและตัวเลขอย่างน้อยหนึ่งตัว
คุณอาจจะมีบางอย่างเช่นเครื่องกำเนิดไฟฟ้ารหัสผ่านเหมือนSuperGenPass ดังนั้นพวกเขาอาจมีรหัสผ่านที่อ่อนแอ แต่สตริงที่สร้างขึ้นจะมีความแข็งแกร่งอย่างยิ่ง แต่นั่นจะมีมากขึ้นสำหรับการเข้าสู่เว็บไซต์
ตัวเลือกอื่น ๆ จะเป็น:
ในวันศุกร์ฉันต้องเปลี่ยนรหัสผ่านที่ไซต์ลูกค้าของฉัน กฎที่พวกเขามีนั้นไร้สาระ พวกเขาทั้งหมดเป็นคนมาตรฐานเกี่ยวกับต้องมีตัวพิมพ์ใหญ่เครื่องหมายวรรคตอนความยาวต่ำสุด ฯลฯ
ปัญหาคือว่ามันซับซ้อนจนแทบจะเป็นไปไม่ได้ที่จะหาโดยเฉพาะอย่างยิ่งเมื่อข้อความแสดงข้อผิดพลาดไม่ได้บอกข้อกำหนดเพิ่มเติมที่พวกเขามี
ฉันโทรไปที่แผนกช่วยเหลือแล้วพวกเขาก็บอกว่าใช้แค่ Pa5word # นี้ (ไม่ใช่รหัสผ่านจริง) แล้วค่อยเพิ่มจำนวน ....
ฉันพบว่าระบบเหล่านี้บ้าอย่างสมบูรณ์เมื่อพวกเขาหยุดคุณจากการใช้ข้อความรหัสผ่านเช่น "thisismypasswordforjanurary" นั้นง่ายต่อการจดจำและปลอดภัยมาก แต่ระบบส่วนใหญ่ไม่อนุญาตให้ใช้วลีประเภทนี้
ดังนั้นฉันจะลงคะแนนให้มีความยาวต่ำสุดสูงพูดประมาณ 15-20 ตัวอักษรเพื่อให้คนไม่สามารถใช้คำและรหัสผ่านแบบ l33t ได้
อะไรก็ตามที่คุณเลือกฉันจะทำให้แน่ใจว่าคุณบันทึกเอกสารข้อ จำกัด คืออะไรและทำไมพวกเขาถึงมีและตัวอย่างสำหรับผู้ใช้เพื่อช่วยให้พวกเขาสร้างคนที่ปลอดภัย
ผู้ใช้ส่วนใหญ่ตรงไปที่นโยบายการแนะนำ ซึ่งจะตอบคำถามเพื่อให้ดี แต่ในความคิดของฉันคุณต้องถามตัวเองก่อนว่าข้อมูลที่คุณปกป้องมีความสำคัญขนาดไหน?
ตัวอย่างเช่นนโยบายรหัสผ่านสำหรับกระทรวงกลาโหมเพื่อรักษาความปลอดภัยข้อมูลที่เป็นความลับอาจจะค่อนข้างแตกต่างจากนโยบายที่คุณใช้สำหรับบัญชีอีเมลที่ถูกทิ้ง
เวอร์ชั่นสั้น:
ส่วนผู้ดูแลระบบของฉันบอกว่ารหัสผ่านอักขระ 12-16 ตัวพร้อมทั้งตัวอักษรพิมพ์เล็กและตัวพิมพ์ใหญ่และตัวเลข นอกจากนี้ควรมีส่วนข้อความแบบสุ่มที่ไม่ได้อยู่ในพจนานุกรมใด ๆ ควรเพียงพอเพื่อป้องกันการโจมตีด้วยกำลังดุร้ายบนเครือข่าย
ในฐานะผู้ใช้ฉันชอบรหัสผ่านที่จดจำได้ง่ายถึงแม้ว่ารหัสผ่านอาจยาว (16 ตัวอักษรขึ้นไป) เมื่อฉันจำได้ฉันสามารถพิมพ์ได้เร็วพอ บางทีแทนที่จะบังคับใช้นโยบายเพียงอย่างเดียวคุณควรหาวิธีที่ชาญฉลาดในการสอนผู้ใช้ของคุณให้เลือกรหัสผ่านที่ปลอดภัยและจดจำได้ง่ายไม่ใช่แค่ตัวอักษรแบบสุ่ม