Birkaç durumda, kullanıcıları düzenli olarak şifrelerini değiştirmeye zorlamak, güvenlik için bir yardımdan ziyade bakım üzerinde bir baskı haline geliyor. Ayrıca, kullanıcıların şifrelerini hatırlamak için yeterli zamana sahip olmadıkları ve başka bir şifreyi yeniden öğrenmeleriyle uğraşamayacakları için yeni şifrelerini yazdıklarını gördüm.
Parolalarda değişiklik yapmaya zorlamak için hangi güvenlik avantajı vardır?
Yanıtlar:
İşte SANS günlüğünden farklı bir şey:
Şifre kuralları: Her 25 yılda bir değiştirin
Pratik bir faydası var. Birisi şifreniz varsa ve istedikleri tek şey e-postanızı okumak ve tespit edilmeden kalmaksa, sonunda oturum açma sırrınızı değiştirmediğiniz sürece sonsuza kadar yapabilir. Bu nedenle, parolanın düzenli olarak değiştirilmesi, birine girip mallarınızla uğraşmasına karşı pek yardımcı olmaz, ancak hesabınıza erişmiş olabileceğiniz herhangi bir takipçiyi veya gözetleyiciyi sallama şansı verir. Evet bu iyi. Ancak bu yararın tek başına uğraşmaya değer olup olmadığını ve kullanıcıları her 90 günde bir parolalarını değiştirmeye zorlamanın dezavantajlarına değerse, şüphelerim var.
Tahmin ettiğinizde bir şifre değişikliğini zorunlu kılın (tüm kullanıcılarınızda her zaman bir şifre tahmin programı çalıştırarak).
"Neden?" Yanıtı verildiğinde "şifrenizi değiştirmeniz gerekiyor" ile tartışmak zor. "Çünkü kör olduğunu tahmin edebildik". Tahmin edilmesi zor şifreleri seçenleri otomatik olarak ödüllendirir ve kullanıcılarınıza hangi şifrelerin zayıf olduğunu öğretir. Eğer "password1" i seçtiler, bir kez giriş yapmadan önce sona erecekler. Bir kullanıcı 16 karakterli rastgele, karışık durumlu, alfasayısal bir şifre seçerse, bunu asla tahmin edemezsiniz - ve başka hiç kimse kullanmaz. Çok uzun süre saklayalım, hatta ezberleyebilecekler.
Bu bir değiş tokuş. Sık sık şifre değişikliği yapılması, düşük kaliteli şifrelerle sonuçlanır. Bu etki üzerine araştırmalar bile yapılmıştır.
Bununla birlikte, kullanıcıların parola paylaşmasını önlemek için bulduğum tek güvenilir yol, periyodik parola değişiklikleri gerektirmektir. Deneyimlerim, 90 günün kullanılabilirlik ve güvenlik arasında iyi bir uzlaşma olduğunu gösteriyor. Daha uzun süre giderseniz, insanlar paylaşılan şifrelere güvenmeye başlar - daha erken ve "November09", "December09" ile sonuçlanırsınız.
Parolalarda değişiklik yapmaya zorlamanın en kötü yanı, aslında insanların parolalarını değiştirmelerine neden olmanız değil. Genellikle çok az uyarı ile veya hiç uyarı olmadan gelir ve hemen uğraşmaları gereken bir sorunla karşılaşırlar, bu yüzden birine iyi bir şifre düşünmek için zaman vermek yerine, daha az güvenli olan bir olasılık daha olasıdır. ancak hatırlaması daha kolay, ya da daha güvenli ama sadece yazılır, böylece güvenlik avantajı ortadan kalkar.
Parolalar kolayca tahmin edilemeyecek kadar karmaşıksa ve sistemler arasında paylaşılmazsa ve güvenliğinin ihlal edilmiş olması olası değilse, parolayı değiştirmek muhtemelen o kadar da önemli değildir.
Bununla birlikte, bunlardan herhangi biri meydana gelirse ve ilk ikisi muhtemelen daha yaygın değilse, insanları düzenli olarak parolayı değiştirmeye zorlamak, en azından parolaları paylaşma olasılıklarının daha düşük olduğu anlamına gelir.
Bununla birlikte, kullanıcılarınızı iyi bir şifrenin anlamı ve bunları paylaşmanın neden çok kötü olduğu konusunda eğitmeyi tercih ederim. Ne yaparsanız yapın onları not etmek yaygındır.
İnsanlara tanıdık olmayan bir alıntıyı hatırlayarak veya bir cümle oluşturarak tanıdıkları bir kitaptan şifre seçmelerini öneriyorum. Her kelimenin ilk harfini kullanın ve oraya bir yere iki sayı ekleyin. Çoğu insan bunu birkaç kez yazdıktan sonra hatırlayabilir.
Bu uygulamada hiç fayda görmüyorum.
Güçlü şifre çok daha önemlidir. Güçlü olarak 9+ alfasayısal + özel sembol veya 15+ [az] -sadece sözlük olmayan bir şifre / cümle (bu Amazon'un EC2'sini kullanan bruteforing şifrelerinin maliyetine ilişkin yakın tarihli bir çalışmaya dayanmaktadır) kastediyorum.
Uzaktan erişilen sistemlerde, tüm açık servislerde bruteforce algılama ve önleme yazılımı (örn. Fail2ban) bulunmalıdır. Bu, normal şifre değiştirme politikasından çok daha önemlidir, IMO.
Temel sorun, güvenlik mekanizması olarak şifrelerin kokmasıdır.
İnsanlardan sık sık değiştirmelerini istersen, onları yazarlar. En az 3 rakamlı, 4 büyük harfli ve kontrol karakteri olan 30 harfli şifre kullanmalarını isterseniz, bunları unutur veya yazar ya da başka aptalca şeyler yaparlar. Basit iseler, kullanıcılar bunny7 veya Bunny7 gibi aptal bir şifre kullanacaktır. Porno hesapları ve hotmail hesapları da dahil olmak üzere her şey için aynı kötü şifreyi kullanacaklar.
Kullanıcıların cep telefonlarını iki faktörlü kimlik doğrulama aracı olarak kullanmalarına izin veren Mobil OTP gibi araçları seviyorum .
Uzun vadede, bir şekilde kullanıcı tanımlama mekanizması olarak şifrelenmiş sertifikaları olan bir dünyaya ineceğiz. OpenID ve CAS gibi şeyler kullanıcı kimlik doğrulamasını basitleştirir ve uygun tek oturum açmaya izin verir.
Uzun vadede en iyi bahis, kullanıcıların kimlik bilgilerini kaç kez vermesi gerektiğini azaltmaktır - "İK" şifresinden ve "zaman çizelgesi" şifresinden ve "CRM" şifresinden kurtulmaktır. Bunları, kullanıcıların kimlik bilgilerini bir kez vermelerini gerektiren ortak bir kimlik doğrulama altyapısında birleştirin. Ardından , iki faktörlü kimlik doğrulama kullanan MobileOTP veya RSA SecurID gibi bir şey kullanmalarını sağlayın .
Kısa vadede, şifre politikaları dini savaşların konusu olacak. Patronunuz sizden istediğini yapın ve patron sizseniz, kararınızı kullanıcı tabanınıza ve beklenen güvenlik profilinize göre kullanın.
İyi şanslar!
Tamamen yararsız olmayan bu uygulama uzun zaman önce çok daha önemliydi. Bu politikayı tartışmak, dikkati çok daha ciddi olan mevcut tehditlerden uzaklaştırdığı için aslında verimsizdir.
Düşünmek:
Windows / AD kullanıyorsanız ve bir hesapta "Hesap hassas ve temsilci seçilemez" kutusunu işaretlemediyseniz, bu hesap kimliğe bürünme yoluyla kullanılabilir ve parola gerekmez. Bunu yapmak için kod önemsizdir.
Bir kişinin windows iş istasyonunun bir güvenlik açığından ödün vermesi durumunda, bellek içi Windows güvenlik belirteci diğer bilgisayarlara erişmek için kullanılabilir. Yine, şifre gerekmez.
Bu ikincisi, bu nedenle, sunuculara yalnızca günlük normal kullanıcı hesabınızdan farklı bir hesap kullanarak erişmelisiniz. Ayrıca her iki senaryonun en sağlam iki faktörlü kimlik doğrulama mekanizmalarını bile tamamen alt ettiğini unutmayın.
Şifre güvenliği ile ilgili olarak ortaya çıkabilecek en iyi şey, onu tartışmayı durdurmak ve daha çağdaş ve ciddi tehditlere odaklanmaktır.
Daha fazla bilgi:
"Hepsine hükmedecek bir jeton" olan Luke Jennings sunumuna göz atın:
http://eusecwest.com/esw08/esw08-jennings.pdf
Insomnia Shell - ASP.Net sunucusundaki belirteçlerden ödün vermek için gereken kod örneği:
http://www.insomniasec.com/releases/tools
Nasıl Yapılır: ASP.NET 2.0'da Protokol Geçişi ve Kısıtlı Temsilci Kullanma
http://msdn.microsoft.com/en-us/library/ms998355.aspx
"Parola olmadan" ifadesini arayın.
Parola ne kadar uzun süre değişmezse, tehlikeye girme olasılığı o kadar yüksektir, çünkü tehlikeye gireceği durumlar için daha fazla fırsat olacaktır (sonsuz bir süre mümkün olduğunda). Ayrıca, kullanıcı eskisine alışık olacağından gelecekte değişmeyi zorlaştırır. Diğer bir risk ise, tehlikeye düştüğü ve kullanıcının gerçeği bilmemesi durumunda, kullanıcı hesabının sürekli olarak kötüye kullanılmasının olası bir potansiyel olmasıdır. Periyodik değişiklikler en azından bir sonraki zorunlu şifre değişikliğinin güvenliği ihlal edilmiş şifreyi işe yaramayacağı için hafifletecektir.
Deneyimlerime göre, kullanıcıların parolaları yazmalarına neden olma senaryosu, kendi benzersiz kullanıcı adlarını ve parola birleşimlerini gerektiren birden çok farklı sisteme sahip olmak gibi güvenlik altyapınızda birleşik düşünme eksikliğidir. Bir kullanıcıya 5 tane atın ve intikam ile sarı yapışkan not sendromu elde edersiniz.
Kullanıcıların hatırlaması kolay, ancak kırılması zor olan şifreleri seçmelerine olanak tanıyan, iyi bir kullanıcı eğitimi, bazı sağlam tümleşik kimlik doğrulama ve makul kilitleme ve süre sonu politikaları ile birleştiğinde, tümü şifre paylaşımını açıkça yasaklayan bir AUP tarafından desteklenen makul bir şifre politikasıdır. en iyi yol.
Kimlik bilgilerini önbelleğe alıyorsanız (çoğu insanın kullanılabilirliği için yaptığı) bu bir zorunluluktur. Bir bilgisayar fiziksel olarak çalınırsa ve kimlik bilgileri önbelleği etkinleştirilirse, hırsız, hesap kilitleme ilkesinin etkinleştirilmesinden korkmadan makineyi ağdan zorlayabilir. Daha sonra ağ kaynaklarınız için geçerli kimlik bilgilerine sahip olurlar. Bu şifrelerin düzenli aralıklarla değiştirilmesi bu hasarın en aza indirilmesine yardımcı olabilir.
Bu, asla ayrıcalıklı bir hesapla oturum açmamanızın, her zaman sınırlı bir kullanıcı olarak oturum açmanın ve bireysel istemleri yükseltmenizin tam nedeni, bu da hırsızlık / hırsızlık durumunda ayrıcalıklı kimlik bilgilerinin kaba zorlanmasını önler.
Kampta asla şifre değişikliği gerektirmiyor. Ya da makalenin dediği gibi - her 25 yılda bir - evet o zaman öleceğim. İyi. İşte sebebi ... İşimde hatırlanacak 12 şifrem var. Çoğu değişiyor ve değişenler tamamen farklı programlarda. Hepsinin farklı güç gereksinimleri var. Hafif bir insan bununla nasıl başa çıkabilir? Gördüğüm birkaç yol: Onları bir beyaz tahtaya yazın. Onları bir kağıda yazın ve kilitsiz bir çekmecede saklayın. veya tercih ettiğim yöntem: bunları oldukça güvensiz bir google doc e-tablosunda saklayın. Bu yöntemlerden herhangi birinin (ÇOK yaygın olan) değişiklik gerektirerek elde edilen küçük güvenlik avantajlarını tamamen dengelemediğine ikna etmenin hiçbir yolu yoktur.
Bu yazıyı yazmak için zamanım var, çünkü hesaplarımdan birinin kilidini açmak için BT desteğinde birisini bekliyorum. Görünüşe göre e-tablomu son kez düzgün güncellemedim. Bu saçmalık için kaybedilen MİLYAR $$$ hesaplayan bir çalışma var mı?