Много ИТ системи имат задължително правило за периодична промяна на паролите. Това е може би най-омразното и най-безполезното изискване на системите за сигурност. Някои потребители просто променят номера в края като лайфхак.

Тази практика причини много неудобства. Хората обаче трябваше да издържат, защото това за безопасност. Сега този съвет е напълно без значение. През май 2019 г. дори Microsoft най-накрая премахна изискването за периодични промени на паролата от основното ниво на изисквания за сигурност за персонални и сървърни версии на Windows 10: тук официално изявление в блога със списък на промените във версия Windows 10 v 1903 (обърнете внимание на фразата Премахване на правилата за изтичане на паролата, които изискват периодични промени на паролата). Самите правила и системни политики Windows 10 версия 1903 и базова линия за сигурност на Windows Server 2019 включени в комплекта Microsoft Security Compliance Toolkit 1.0.

Можете да покажете тези документи на началниците си и да кажете: времената се промениха. Задължителните промени на паролата са архаични, вече почти официални. Дори одитът на сигурността вече няма да проверява това изискване (ако е базирано на официалните правила за основна защита на Windows компютри).


Фрагмент от списък с основни правила за сигурност за Windows 10 v1809 и промени в 1903, където съответните правила за изтичане на паролата вече не се прилагат. Между другото, в новата версия акаунтите на администратор и гост също са анулирани по подразбиране

Microsoft обяснява в публикация в блог защо изостави правилото за задължителна промяна на паролата: „Периодичното изтичане на паролата предпазва само от възможността паролата (или хешът) да бъде открадната по време на живота си и използвана от неупълномощено лице. Ако паролата не е открадната, няма смисъл да я променяте. И ако имате доказателства, че паролата е била открадната, очевидно ще искате да действате незабавно, вместо да чакате, докато изтече, за да разрешите проблема."

Microsoft продължава да обяснява, че в днешната среда не е подходящо да се защитава срещу кражба на парола с помощта на този метод: „Ако е известно, че има вероятност паролата да бъде открадната, колко дни е приемлив период от време, за да позволи на крадеца да използвате тази открадната парола? Стойността по подразбиране е 42 дни. Това не изглежда ли нелепо дълго време? Наистина, това е много дълъг период от време и въпреки това текущата ни базова линия беше зададена на 60 дни - а преди това на 90 дни - защото налагането на чести изтичания води до собствени проблеми. И ако паролата не е непременно открадната, тогава вие получавате тези проблеми без никаква полза. Освен това, ако вашите потребители желаят да разменят парола за бонбони, никаква политика за изтичане на паролата няма да помогне.

алтернатива

Microsoft пише, че неговите базови политики за сигурност са предназначени за използване от добре управлявани, съзнателни за сигурността бизнеси. Те също така са предназначени да предоставят насоки на одиторите. Ако такава организация е внедрила списъци със забранени пароли, многофакторно удостоверяване, откриване на атаки с груба сила на парола и откриване на необичаен опит за влизане, изисква ли се периодично изтичане на паролата? И ако не са въвели модерни мерки за сигурност, изтичането на паролата ще им помогне ли?

Логиката на Microsoft е изненадващо убедителна. Имаме две възможности:

1. Фирмата е внедрила съвременни мерки за сигурност.
2. компания не въведе съвременни мерки за сигурност.

В първия случай периодичната смяна на паролата не предоставя допълнителни предимства.

Във втория случай периодичната промяна на паролата е безполезна.

По този начин, вместо датата на изтичане на паролата, трябва да използвате, на първо място, многофакторно удостоверяване. Допълнителните мерки за сигурност са изброени по-горе: списъци със забранени пароли, откриване на груба сила и други необичайни опити за влизане.

«Периодичното изтичане на паролата е древна и остаряла мярка за сигурност“, заключава Microsoft, „и ние не вярваме, че има някаква конкретна стойност, която си струва да се приложи към нашето базово ниво на защита. Като го премахнем от нашата базова линия, организациите могат да изберат това, което най-добре отговаря на техните възприети нужди, без да влизат в противоречие с нашите препоръки.“

Продукция

Ако една компания днес принуждава потребителите да сменят паролите си периодично, какво може да си помисли външен наблюдател?

1. Като се има предвид: компанията използва архаичен защитен механизъм.
2. Предположение: дружеството не е внедрило съвременни защитни механизми.
3. Заключение: тези пароли са по-лесни за получаване и използване.

Оказва се, че периодичната смяна на паролите прави компанията по-привлекателна цел за атаки.

Източник: www.habr.com