অনেক আইটি সিস্টেমে পর্যায়ক্রমে পাসওয়ার্ড পরিবর্তন করার বাধ্যতামূলক নিয়ম রয়েছে। এটি সম্ভবত নিরাপত্তা ব্যবস্থার সবচেয়ে ঘৃণ্য এবং সবচেয়ে অকেজো প্রয়োজনীয়তা। কিছু ব্যবহারকারী কেবল লাইফ হ্যাক হিসাবে শেষে নম্বর পরিবর্তন করে।

এই অভ্যাসটি অনেক অসুবিধার সৃষ্টি করেছিল। তবে, মানুষকে সহ্য করতে হয়েছিল, কারণ এটি নিরাপত্তার স্বার্থে. এখন এই পরামর্শ সম্পূর্ণ অপ্রাসঙ্গিক. মে 2019-এ, এমনকি Microsoft অবশেষে Windows 10-এর ব্যক্তিগত এবং সার্ভার সংস্করণের নিরাপত্তা প্রয়োজনীয়তাগুলির মৌলিক স্তর থেকে পর্যায়ক্রমিক পাসওয়ার্ড পরিবর্তনের প্রয়োজনীয়তা সরিয়ে দিয়েছে: এখানে অফিসিয়াল ব্লগ বিবৃতি Windows 10 v 1903 সংস্করণে পরিবর্তনের একটি তালিকা সহ (বাক্যটি নোট করুন পাসওয়ার্ড মেয়াদোত্তীর্ণ নীতিগুলি বাদ দেওয়া হচ্ছে যার জন্য পর্যায়ক্রমিক পাসওয়ার্ড পরিবর্তন প্রয়োজন) নিয়ম নিজেদের এবং সিস্টেম নীতি উইন্ডোজ 10 সংস্করণ 1903 এবং উইন্ডোজ সার্ভার 2019 নিরাপত্তা বেসলাইন কিট অন্তর্ভুক্ত Microsoft নিরাপত্তা কমপ্লায়েন্স টুলকিট 1.0.

আপনি এই নথিগুলি আপনার ঊর্ধ্বতনদের দেখাতে পারেন এবং বলতে পারেন: সময় বদলে গেছে। বাধ্যতামূলক পাসওয়ার্ড পরিবর্তন পুরাতন, এখন প্রায় অফিসিয়াল। এমনকি একটি নিরাপত্তা অডিটও এই প্রয়োজনীয়তাটি আর পরীক্ষা করবে না (যদি এটি উইন্ডোজ কম্পিউটারের মৌলিক সুরক্ষার জন্য সরকারী নিয়মের উপর ভিত্তি করে হয়)।


Windows 10 v1809 এবং 1903-এ পরিবর্তনের জন্য মৌলিক নিরাপত্তা নীতি সহ একটি তালিকার একটি খণ্ড, যেখানে সংশ্লিষ্ট পাসওয়ার্ডের মেয়াদ শেষ হওয়ার নীতি আর প্রযোজ্য নয়। যাইহোক, নতুন সংস্করণে, প্রশাসক এবং অতিথি অ্যাকাউন্টগুলিও ডিফল্টরূপে বাতিল করা হয়

মাইক্রোসফ্ট বিখ্যাতভাবে একটি ব্লগ পোস্টে ব্যাখ্যা করে যে কেন এটি বাধ্যতামূলক পাসওয়ার্ড পরিবর্তনের নিয়ম পরিত্যাগ করেছে: “পর্যায়ক্রমিক পাসওয়ার্ডের মেয়াদ কেবলমাত্র সেই সম্ভাবনা থেকে রক্ষা করে যে পাসওয়ার্ডটি (বা হ্যাশ) তার জীবদ্দশায় চুরি হয়ে যাবে এবং কোনও অননুমোদিত ব্যক্তি ব্যবহার করবে৷ পাসওয়ার্ড চুরি না হলে, এটি পরিবর্তন করার কোন মানে নেই। এবং যদি আপনার কাছে প্রমাণ থাকে যে একটি পাসওয়ার্ড চুরি হয়েছে, তাহলে আপনি সমস্যাটি সমাধানের জন্য এটির মেয়াদ শেষ না হওয়া পর্যন্ত অপেক্ষা করার পরিবর্তে অবিলম্বে কাজ করতে চাইবেন।"

মাইক্রোসফ্ট ব্যাখ্যা করে যে আজকের পরিবেশে এই পদ্ধতিটি ব্যবহার করে পাসওয়ার্ড চুরি থেকে রক্ষা করা উপযুক্ত নয়: “যদি এটি জানা যায় যে একটি পাসওয়ার্ড চুরি হওয়ার সম্ভাবনা রয়েছে, তবে চোরকে অনুমতি দেওয়ার জন্য কত দিন সময় লাগে? চুরি করা পাসওয়ার্ড ব্যবহার করবেন? ডিফল্ট মান হল 42 দিন। যে একটি হাস্যকর দীর্ঘ সময় মত মনে হয় না? প্রকৃতপক্ষে, এটি একটি খুব দীর্ঘ সময়, এবং এখনও আমাদের বর্তমান বেসলাইন 60 দিনে সেট করা হয়েছিল - এবং পূর্বে 90 দিনে - কারণ ঘন ঘন মেয়াদ শেষ হওয়া তার নিজস্ব সমস্যার পরিচয় দেয়। এবং যদি পাসওয়ার্ডটি অগত্যা চুরি না হয়, তবে আপনি কোনও লাভের জন্য এই সমস্যাগুলি অর্জন করছেন। এছাড়াও, যদি আপনার ব্যবহারকারীরা ক্যান্ডির জন্য একটি পাসওয়ার্ড ট্রেড করতে ইচ্ছুক হন, তবে কোনও পাসওয়ার্ড মেয়াদ শেষ হওয়ার নীতি সাহায্য করবে না।"

বিকল্প

মাইক্রোসফ্ট লিখেছে যে এর বেসলাইন নিরাপত্তা নীতিগুলি সু-পরিচালিত, নিরাপত্তা-সচেতন ব্যবসার দ্বারা ব্যবহারের উদ্দেশ্যে। তারা নিরীক্ষকদের নির্দেশিকা প্রদান করার উদ্দেশ্যেও। যদি এই ধরনের একটি সংস্থা নিষিদ্ধ পাসওয়ার্ড তালিকা, মাল্টি-ফ্যাক্টর প্রমাণীকরণ, পাসওয়ার্ড ব্রুট ফোর্স অ্যাটাক সনাক্তকরণ এবং অস্বাভাবিক লগইন প্রচেষ্টা সনাক্তকরণ প্রয়োগ করে থাকে, তাহলে কি পর্যায়ক্রমিক পাসওয়ার্ডের মেয়াদ প্রয়োজন? এবং যদি তারা আধুনিক নিরাপত্তা ব্যবস্থা বাস্তবায়ন না করে থাকে, তাহলে পাসওয়ার্ডের মেয়াদ কি তাদের সাহায্য করবে?

মাইক্রোসফটের যুক্তি আশ্চর্যজনকভাবে বিশ্বাসযোগ্য। আমাদের দুটি বিকল্প আছে:

1. প্রতিষ্ঠানটি আধুনিক নিরাপত্তা ব্যবস্থা বাস্তবায়ন করেছে।
2. দৃঢ় না আধুনিক নিরাপত্তা ব্যবস্থা চালু করেছে।

প্রথম ক্ষেত্রে, পর্যায়ক্রমে পাসওয়ার্ড পরিবর্তন করা অতিরিক্ত সুবিধা প্রদান করে না।

দ্বিতীয় ক্ষেত্রে, পর্যায়ক্রমে পাসওয়ার্ড পরিবর্তন করা অকেজো।

সুতরাং, পাসওয়ার্ড মেয়াদ শেষ হওয়ার তারিখের পরিবর্তে, আপনাকে প্রথমে ব্যবহার করতে হবে, মাল্টি-ফ্যাক্টর প্রমাণীকরণ. অতিরিক্ত নিরাপত্তা ব্যবস্থা উপরে তালিকাভুক্ত করা হয়েছে: নিষিদ্ধ পাসওয়ার্ডের তালিকা, নৃশংস শক্তি সনাক্তকরণ এবং অন্যান্য অস্বাভাবিক লগইন প্রচেষ্টা।

«পর্যায়ক্রমিক পাসওয়ার্ডের মেয়াদ একটি প্রাচীন এবং সেকেলে নিরাপত্তা ব্যবস্থা", Microsoft উপসংহারে, "এবং আমরা বিশ্বাস করি না যে আমাদের বেসলাইন সুরক্ষা স্তরে প্রয়োগ করার মতো কোনও নির্দিষ্ট মান আছে৷ এটিকে আমাদের বেসলাইন থেকে সরিয়ে দিয়ে, সংস্থাগুলি আমাদের সুপারিশের সাথে বিরোধ না করে তাদের অনুভূত প্রয়োজনের জন্য সবচেয়ে উপযুক্ত কি বেছে নিতে পারে।"

উপসংহার

যদি একটি কোম্পানি আজ ব্যবহারকারীদের তাদের পাসওয়ার্ড পরিবর্তন করতে বাধ্য করে, তাহলে একজন বাইরের পর্যবেক্ষক কি ভাবতে পারে?

1. দেওয়া হলে কোম্পানি একটি প্রাচীন প্রতিরক্ষা ব্যবস্থা ব্যবহার করে।
2. ধৃষ্টতা: কোম্পানি আধুনিক প্রতিরক্ষামূলক ব্যবস্থা প্রয়োগ করেনি।
3. উপসংহার: এই পাসওয়ার্ড প্রাপ্ত এবং ব্যবহার করা সহজ.

এটি দেখা যাচ্ছে যে পর্যায়ক্রমে পাসওয়ার্ড পরিবর্তন করা একটি কোম্পানিকে আক্রমণের জন্য আরও আকর্ষণীয় লক্ষ্য করে তোলে।

উত্স: www.habr.com