In molti sistemi IT esiste una regola obbligatoria per il cambio periodico delle password. Questo è probabilmente il requisito più odiato e più inutile delle misure di sicurezza. Alcuni utenti, come trucchetto, cambiano semplicemente il numero alla fine.

Questa pratica ha causato molti disagi. Tuttavia, le persone dovevano sopportarlo, perché era per la sicurezza. Ora questo consiglio è completamente obsoleto. A maggio 2019, persino Microsoft ha finalmente rimosso il requisito del cambio periodico delle password dal livello di base dei requisiti di sicurezza per le versioni personali e server di Windows 10: ecco una dichiarazione ufficiale nel blog con l'elenco delle modifiche alla versione Windows 10 v 1903 (presta attenzione alla frase Dropping the password-expiration policies that require periodic password changes). Le stesse regole e politiche di sistema Windows 10 Version 1903 e Windows Server 2019 Security Baseline sono incluse nel pacchetto Microsoft Security Compliance Toolkit 1.0.

Puoi mostrare questi documenti al management e dire: i tempi sono cambiati. Il cambio obbligatorio delle password è un'arcaicità, ora praticamente ufficialmente. Anche l'audit della sicurezza non verificherà più questo requisito (se si basa sulle norme ufficiali per la protezione di base dei computer con Windows).


Un frammento dell'elenco delle politiche di sicurezza di base di Windows 10 v1809 e modifiche in 1903, dove le politiche corrispondenti sulla durata delle password non si applicano più. A proposito, nella nuova versione vengono anche disattivati per default gli account amministratori e ospiti.

Microsoft spiega chiaramente nel blog perché ha abbandonato la regola del cambio obbligatorio della password: «La scadenza periodica della password protegge solo dalla probabilità che la password (o l'hash) venga rubata durante il suo periodo di validità e usata da una persona non autorizzata. Se la password non viene rubata, non ha senso cambiarla. E se hai prove che la password è stata rubata, ovviamente vorrai agire immediatamente, e non aspettare la scadenza per risolvere il problema».

Microsoft spiega che, in condizioni moderne, è errato proteggersi dai furti di password in questo modo: «Se si sa che una password sarà probabilmente rubata, quale è il periodo di tempo accettabile per consentire a un ladro di utilizzare quella password rubata? Il valore predefinito è di 42 giorni. Non ti sembra un tempo ridicolmente lungo? In effetti, è molto lungo, eppure il nostro attuale benchmark è stato impostato a 60 giorni — prima era di 90 giorni — perché la forzatura di scadenze frequenti introduce i propri problemi. E se la password non verrà necessariamente rubata, acquisisci questi problemi senza alcun beneficio. Inoltre, se i tuoi utenti sono disposti a scambiare la password per una caramella, nessuna politica di scadenza delle password sarà d'aiuto.»

Alternativa

Microsoft scrive che le sue politiche di sicurezza di base sono destinate a essere utilizzate da aziende ben gestite e attente alla sicurezza. Esse sono anche progettate per fungere da guida per gli auditor. Se tale organizzazione ha implementato liste di password vietate, autenticazione a più fattori, rilevamento degli attacchi a forza bruta e rilevamento di tentativi di accesso anomali, è necessaria una scadenza periodica della password? E se non hanno implementato mezzi di protezione moderni, la scadenza della password sarà d'aiuto?

La logica di Microsoft è sorprendentemente convincente. Abbiamo due opzioni:

1. L'azienda ha implementato misure di protezione moderne.
2. Azienda non ha implementato misure di protezione moderne.

Nel primo caso, il cambio periodico della password non offre vantaggi aggiuntivi.

Nel secondo caso, il cambio periodico della password è inutile.

Pertanto, invece di una scadenza della password, bisognerebbe utilizzare, prima di tutto, l'autenticazione a più fattori. Ulteriori misure di protezione sono elencate sopra: liste di password vietate, rilevamento di attacchi a forza bruta e altri tentativi di accesso anomali.

«La scadenza periodica delle password è una misura di protezione obsoleta e superata, — conclude Microsoft, — e non riteniamo che per il nostro livello di protezione di base sia necessario applicare un valore specifico. Rimuovendolo dal nostro livello di base, le organizzazioni possono scegliere ciò che meglio si adatta alle loro esigenze presunte, senza contraddire le nostre raccomandazioni».

Conclusione

Cosa può pensare un osservatore esterno se oggi un'azienda costringe gli utenti a cambiare periodicamente le password?

1. Dati: l'azienda utilizza un meccanismo di protezione arcaico.
2. Presupposto: l'azienda non ha implementato meccanismi di protezione moderni.
3. Conclusione: queste password sono più facili da ottenere e utilizzare.

Dunque, il cambio periodico delle password rende l'azienda un bersaglio più attraente per gli attacchi.

Fonte: habr.com