कई आईटी प्रणालियों में समय-समय पर पासवर्ड बदलने का अनिवार्य नियम होता है। यह शायद सुरक्षा प्रणालियों की सबसे घृणित और सबसे बेकार आवश्यकता है। कुछ उपयोगकर्ता जीवन हैक के रूप में अंत में नंबर बदल देते हैं।

इस प्रथा के कारण बहुत असुविधा हुई। हालाँकि, लोगों को सहना पड़ा, क्योंकि यह सुरक्षा की खातिर. अब यह सलाह पूरी तरह अप्रासंगिक है. मई 2019 में, माइक्रोसॉफ्ट ने भी अंततः विंडोज 10 के व्यक्तिगत और सर्वर संस्करणों के लिए बुनियादी सुरक्षा आवश्यकताओं से आवधिक पासवर्ड परिवर्तन की आवश्यकता को हटा दिया: यहां आधिकारिक ब्लॉग वक्तव्य संस्करण विंडोज़ 10 वी 1903 में परिवर्तनों की सूची के साथ (वाक्यांश पर ध्यान दें पासवर्ड-समाप्ति नीतियों को समाप्त करना जिनके लिए समय-समय पर पासवर्ड परिवर्तन की आवश्यकता होती है). नियम स्वयं और सिस्टम नीतियां विंडोज 10 संस्करण 1903 और विंडोज सर्वर 2019 सुरक्षा बेसलाइन किट में शामिल है माइक्रोसॉफ्ट सुरक्षा अनुपालन टूलकिट 1.0.

आप इन दस्तावेज़ों को अपने वरिष्ठों को दिखा सकते हैं और कह सकते हैं: समय बदल गया है। अनिवार्य पासवर्ड परिवर्तन पुराने हैं, अब लगभग आधिकारिक हैं। यहां तक ​​कि एक सुरक्षा ऑडिट भी अब इस आवश्यकता की जांच नहीं करेगा (यदि यह विंडोज कंप्यूटर की बुनियादी सुरक्षा के लिए आधिकारिक नियमों पर आधारित है)।


विंडोज़ 10 वी1809 के लिए बुनियादी सुरक्षा नीतियों और 1903 में हुए बदलावों वाली सूची का एक टुकड़ा, जहां संबंधित पासवर्ड समाप्ति नीतियां अब लागू नहीं होती हैं। वैसे, नए संस्करण में व्यवस्थापक और अतिथि खाते भी डिफ़ॉल्ट रूप से रद्द कर दिए जाते हैं

माइक्रोसॉफ्ट ने एक ब्लॉग पोस्ट में प्रसिद्ध रूप से बताया है कि उसने अनिवार्य पासवर्ड परिवर्तन नियम को क्यों छोड़ दिया: "आवधिक पासवर्ड समाप्ति केवल इस संभावना से बचाती है कि पासवर्ड (या हैश) उसके जीवनकाल के दौरान चोरी हो जाएगा और किसी अनधिकृत व्यक्ति द्वारा उपयोग किया जाएगा। अगर पासवर्ड चोरी नहीं हुआ है तो उसे बदलने का कोई मतलब नहीं है. और यदि आपके पास सबूत है कि पासवर्ड चोरी हो गया है, तो आप स्पष्ट रूप से समस्या को ठीक करने के लिए उसके समाप्त होने तक इंतजार करने के बजाय तुरंत कार्रवाई करना चाहेंगे।"

माइक्रोसॉफ्ट यह समझाता है कि आज के परिवेश में इस पद्धति का उपयोग करके पासवर्ड चोरी से बचाव करना उचित नहीं है: "यदि यह ज्ञात है कि पासवर्ड चोरी होने की संभावना है, तो चोर को अनुमति देने के लिए कितने दिनों की स्वीकार्य अवधि है उस चुराए गए पासवर्ड का उपयोग करें? डिफ़ॉल्ट मान 42 दिन है. क्या यह हास्यास्पद रूप से लंबा समय नहीं लगता? वास्तव में, यह बहुत लंबा समय है, और फिर भी हमारी वर्तमान आधार रेखा 60 दिनों पर निर्धारित की गई थी - और पहले 90 दिनों पर - क्योंकि बार-बार समाप्ति के लिए मजबूर करने से अपनी समस्याएं आती हैं। और यदि पासवर्ड आवश्यक रूप से चोरी नहीं हुआ है, तो आप बिना किसी लाभ के ये समस्याएं प्राप्त कर रहे हैं। इसके अलावा, यदि आपके उपयोगकर्ता कैंडी के लिए पासवर्ड का व्यापार करने के इच्छुक हैं, तो कोई भी पासवर्ड समाप्ति नीति मदद नहीं करेगी।

Альтернатива

माइक्रोसॉफ्ट लिखता है कि उसकी आधारभूत सुरक्षा नीतियां अच्छी तरह से प्रबंधित, सुरक्षा के प्रति जागरूक व्यवसायों द्वारा उपयोग के लिए हैं। इनका उद्देश्य लेखापरीक्षकों को मार्गदर्शन प्रदान करना भी है। यदि ऐसे संगठन ने प्रतिबंधित पासवर्ड सूचियां, बहु-कारक प्रमाणीकरण, पासवर्ड ब्रूट फोर्स अटैक डिटेक्शन और असामान्य लॉगिन प्रयास डिटेक्शन लागू किया है, तो क्या आवधिक पासवर्ड समाप्ति आवश्यक है? और यदि उन्होंने आधुनिक सुरक्षा उपाय लागू नहीं किए हैं, तो क्या पासवर्ड समाप्ति से उन्हें मदद मिलेगी?

माइक्रोसॉफ्ट का तर्क आश्चर्यजनक रूप से विश्वसनीय है। हमारे पास दो विकल्प हैं:

1. कंपनी ने आधुनिक सुरक्षा उपाय लागू किये हैं.
2. कंपनी नहीं आधुनिक सुरक्षा उपाय पेश किए हैं।

पहले मामले में, समय-समय पर पासवर्ड बदलने से अतिरिक्त लाभ नहीं मिलता है।

दूसरे मामले में, समय-समय पर पासवर्ड बदलना बेकार है।

इस प्रकार, पासवर्ड समाप्ति तिथि के बजाय, आपको सबसे पहले, उपयोग करने की आवश्यकता है, बहु-कारक प्रमाणीकरण. अतिरिक्त सुरक्षा उपाय ऊपर सूचीबद्ध हैं: निषिद्ध पासवर्ड की सूची, क्रूर बल का पता लगाना और अन्य असामान्य लॉगिन प्रयास।

«आवधिक पासवर्ड समाप्ति एक प्राचीन और पुराना सुरक्षा उपाय है", माइक्रोसॉफ्ट ने निष्कर्ष निकाला, "और हमें विश्वास नहीं है कि हमारे आधारभूत सुरक्षा स्तर पर लागू करने लायक कोई विशिष्ट मूल्य है। इसे हमारी आधार रेखा से हटाकर, संगठन हमारी अनुशंसाओं के साथ टकराव किए बिना यह चुन सकते हैं कि उनकी अनुमानित आवश्यकताओं के लिए सबसे उपयुक्त क्या है।

उत्पादन

यदि कोई कंपनी आज उपयोगकर्ताओं को समय-समय पर अपना पासवर्ड बदलने के लिए मजबूर करती है, तो कोई बाहरी पर्यवेक्षक क्या सोच सकता है?

1. मई: कंपनी एक पुरातन रक्षा तंत्र का उपयोग करती है।
2. मान्यता: कंपनी ने आधुनिक सुरक्षात्मक तंत्र लागू नहीं किया है।
3. निष्कर्ष: इन पासवर्डों को प्राप्त करना और उपयोग करना आसान है।

यह पता चला है कि समय-समय पर पासवर्ड बदलने से कंपनी हमलों के लिए अधिक आकर्षक लक्ष्य बन जाती है।

स्रोत: www.habr.com