В много ИТ-системи действат задължителни правила за периодично изменение на паролите. Това е, вероятно, най-омразното и най-безполезното изискване на системите за сигурност. Някои потребители просто променят цифрата в края като хитрост.

Тази практика предизвика много неудобства. Въпреки това, хората трябваше да търпят, защото е за безопасността. Сега този съвет вече не е актуален. През май 2019 година дори компания Microsoft накрая премахна изискването за периодично изменение на паролите от основните изисквания за сигурност на персоналните и сървърните версии на Windows 10: ето официално изявление в блога с списък на промените за версия Windows 10 v 1903 (обърнете внимание на фразата Отказване от политиките за изтичане на паролите, които изискват периодични промени на паролите). Самите правила и системни политики Windows 10 Version 1903 и Windows Server 2019 Security Baseline са включени в пакета Microsoft Security Compliance Toolkit 1.0.

Можете да покажете тези документи на ръководството и да кажете: времето се е променило. Обязателното изменение на паролите е архаизъм, сега почти официално. Дори одитите за сигурност вече няма да проверяват това изискване (ако се ръководят от официалните указания относно основната защита на компютри под Windows).

Периодичната смяна на пароли е остаряла практика, време е да се откажем от нея.
Фрагмент от списък с основните политики за сигурност на Windows 10 v1809 и промените в 1903, където съответните политики по времево действие на паролите вече не се прилагат. Между другото, в новата версия по подразбиране също се отменят администраторските и гостоприемниците акаунти.

Microsoft популярно обяснява в блога защо се е отказала от правилото за задължително изменение на паролите: «Периодичното изтичане на паролата е защита само срещу вероятността паролата (или хешът) да бъде открадната в рамките на срока ѝ и да бъде използвана от неупълномощено лице. Ако паролата не е открадната, няма смисъл да я променяте. И ако имате доказателства, че паролата е открадната, очевидно искате да действате незабавно, а не да чакате изтичането на срока, за да решите проблема».

След това Microsoft обяснява, че в съвременните условия е неправилно да се защитаваш от кражба на пароли по този начин: «Ако е известно, че паролата вероятно ще бъде открадната, колко дни е приемливият период, за да позволите на крадеца да използва тази открадната парола? Предоставената стойност по подразбиране е 42 дни. Нима не изглежда това като смехотворно дълъг период от време? Наистина, това е много дълго, и все пак нашият текущ основен показател е зададен на 60 дни — а по-рано на 90 дни — защото принуждаването към често изтичане създава свои собствени проблеми. И ако паролата не е задължително да бъде открадната, тогава получавате тези проблеми без полза. Освен това, ако вашите потребители са готови да заменят паролата за бонбон, никаква политика за изтичане на пароли няма да помогне.»

Алтернатива

Microsoft пише, че нейните основни политики за сигурност са предназначени за използване от добре управлявани и загрижени за сигурността предприятия. Те също така служат за ръководство за одитори. Ако такава организация е внедрила списъци с забранени пароли, многофакторна автентикация, откриване на атаки с брутфорс на пароли и откриване на аномални опити за влизане в системата, необходимо ли е периодично изтичане на паролата? А ако не са внедрили съвременни средства за защита, ще им помогне ли изтичането на паролата?

Логиката на Microsoft е изненадващо убедителна. Имаме два варианта:

Компанията е внедрила съвременни средства за защита.
Компания не внедрила съвременни средства за защита.

В първия случай периодичната смяна на паролата не предоставя допълнителни предимства.

Във втория случай периодичната смяна на паролата е безполезна.

Следователно, вместо срок на изтичане на паролата трябва да се използва, на първо място, многофакторна автентикация. Допълнителните мерки за защита са изброени по-горе: списъци с забранени пароли, откриване на брутфорс и други аномални опити за влизане в системата.

«Периодичното изтичане на срока на паролата е древна и остаряла мярка за защита., — заключават от Microsoft, — и не смятаме, че за нашето ниво на основна защита трябва да се прилага конкретна стойност. Премахвайки я от нашето основно ниво, организациите могат да избират това, което най-добре отговаря на предполагаемите им нужди, без да противоречат на нашите препоръки.