In vielen IT-Systemen gilt das verpflichtende Regelwerk der regelmäßigen Passwortänderung. Das ist wohl die unbeliebteste und unnötigste Anforderung der Sicherheitssysteme. Einige Nutzer ändern einfach die Zahl am Ende als kleinen Trick.

Diese Praxis führte zu vielen Unannehmlichkeiten. Doch die Menschen mussten es ertragen, denn das geschah im Sinne der Sicherheit. Dieser Rat ist heute jedoch völlig irrelevant. Im Mai 2019 hat sogar Microsoft endlich die Anforderung zur regelmäßigen Passwortänderung aus der Grundanforderung an die Sicherheit für die persönlichen und Serverversionen von Windows 10 entfernt: hier ist die offizielle Erklärung im Blog mit der Liste der Änderungen für Windows 10 v 1903 (beachten Sie den Satz Das Fallenlassen der Passwortablaufrichtlinien, die regelmäßige Passwortänderungen erfordern). Die entsprechenden Regeln und Systemrichtlinien Windows 10 Version 1903 und Windows Server 2019 Sicherheitsbasislinie sind im Paket enthalten Microsoft Security Compliance Toolkit 1.0.

Sie können diese Dokumente Ihrem Chef zeigen und sagen: Die Zeiten haben sich geändert. Die Pflicht zur Passwortänderung ist ein Relikt der Vergangenheit, jetzt praktisch offiziell. Selbst Sicherheitsprüfungen werden diese Anforderung nicht mehr überprüfen (sofern sie sich an den offiziellen Richtlinien für den Basisschutz von Windows-Computern orientieren).


Ein Auszug aus der Liste der grundlegenden Sicherheitsrichtlinien von Windows 10 v1809 und den Änderungen in 1903, wo die entsprechenden Richtlinien zur Gültigkeit von Passwörtern nicht mehr angewendet werden. Übrigens werden in der neuen Version standardmäßig auch die Administrator- und Gastkonten abgeschafft.

Microsoft erklärt im Blog anschaulich, warum sie die Regel zur obligatorischen Passwortänderung aufgegeben haben: „Das periodische Ablaufen des Passworts dient nur als Schutz gegen die Wahrscheinlichkeit, dass das Passwort (oder der Hash) während seiner Gültigkeitsdauer gestohlen und von einer unbefugten Person verwendet wird. Wenn das Passwort nicht gestohlen wurde, macht es keinen Sinn, es zu ändern. Und wenn Sie Beweise dafür haben, dass das Passwort gestohlen wurde, möchten Sie offensichtlich sofort handeln, anstatt auf das Ablaufen der Gültigkeit zu warten, um das Problem zu beheben.“

Microsoft erläutert, dass es heutzutage nicht sinnvoll ist, sich gegen Passwortdiebstahl auf diese Weise zu schützen: „Wenn bekannt ist, dass das Passwort wahrscheinlich gestohlen wird, wie viele Tage sind dann ein akzeptabler Zeitraum, um einem Dieb zu erlauben, dieses gestohlene Passwort zu verwenden? Der Standardwert beträgt 42 Tage. Kommt Ihnen das nicht absurd lange vor? In der Tat ist das sehr lange, und dennoch wurde unser derzeitiger Basiswert auf 60 Tage festgelegt – zuvor waren es 90 Tage – weil eine häufige Ablauffrist ihre eigenen Probleme mit sich bringt. Und wenn das Passwort nicht unbedingt gestohlen wird, dann übernehmen Sie diese Probleme ohne Nutzen. Darüber hinaus, wenn Ihre Benutzer bereit sind, ihr Passwort gegen ein Bonbon einzutauschen, wird keine Passwortablaufpolitik helfen.“

Alternative

Microsoft schreibt, dass ihre grundlegenden Sicherheitsrichtlinien für gut verwaltete, sicherheitsbewusste Unternehmen gedacht sind. Sie sollen auch als Leitfaden für Auditoren dienen. Wenn eine solche Organisation Listen mit verbotenen Passwörtern, multifaktorielle Authentifizierung, Erkennung von Brute-Force-Angriffen auf Passwörter und Erkennung anomaler Anmeldeversuche implementiert hat, ist dann eine regelmäßige Ablauffrist für Passwörter erforderlich? Und falls sie keine modernen Schutzmaßnahmen eingeführt haben, wird ihnen dann eine Ablauffrist für Passwörter helfen?

Die Logik von Microsoft ist überraschend überzeugend. Wir haben zwei Optionen:

1. Das Unternehmen hat moderne Schutzmaßnahmen implementiert.
2. Unternehmen nicht hat moderne Schutzmaßnahmen implementiert.

Im ersten Fall bringt eine regelmäßige Passwortänderung keine zusätzlichen Vorteile.

Im zweiten Fall ist eine regelmäßige Passwortänderung nutzlos.

Daher sollte anstelle der Ablauffrist für Passwörter in erster Linie multifaktorielle Authentifizierungverwendet werden. Zusätzliche Schutzmaßnahmen sind oben aufgeführt: Listen mit verbotenen Passwörtern, Erkennung von Brute-Force-Angriffen und anderen anomalen Anmeldeversuchen.

«Eine regelmäßige Ablauffrist für Passwörter ist eine veraltete und überholte Schutzmaßnahme., — zieht Microsoft Bilanz, — und wir halten es nicht für notwendig, einen bestimmten Wert für unser grundlegendes Schutzniveau zu verwenden. Indem wir ihn aus unserem Basisniveau entfernen, können Organisationen das wählen, was am besten zu ihren anticipated needs passt, ohne gegen unsere Empfehlungen zu verstoßen.

Ausgabe

Was könnte ein außenstehender Beobachter denken, wenn ein Unternehmen die Benutzer heute zwingt, ihre Passwörter regelmäßig zu ändern?

1. Gegeben: Das Unternehmen verwendet eine veraltete Sicherheitsmaßnahme.
2. Annahme: Das Unternehmen hat keine modernen Sicherheitsmechanismen implementiert.
3. Ausgabe: diese Passwörter sind leichter zu beschaffen und zu verwenden.

Es stellt sich heraus, dass die regelmäßige Passwortänderung das Unternehmen zu einem attraktiveren Ziel für Angriffe macht.

Quelle: habr.com