Molti sistemi IT hanno una regola obbligatoria per il cambio periodico delle password. Questo è probabilmente il requisito più odiato e più inutile delle politiche di sicurezza. Alcuni utenti, come trucco, cambiano semplicemente il numero alla fine.

Questa pratica ha causato numerosi disagi. Tuttavia, le persone dovevano sopportarlo, poiché era per motivi di sicurezza. Ora questo consiglio è completamente obsoleto. Nel maggio 2019, anche Microsoft ha finalmente rimosso il requisito del cambio periodico delle password dal livello di base dei requisiti di sicurezza per le versioni personali e server di Windows 10: ecco una dichiarazione ufficiale nel blog con l'elenco delle modifiche alla versione Windows 10 v 1903 (nota la frase Eliminazione delle politiche di scadenza delle password che richiedono cambi periodici delle password). Le regole e le politiche di sistema Windows 10 Version 1903 e Windows Server 2019 Security Baseline sono incluse nel pacchetto Microsoft Security Compliance Toolkit 1.0.

Puoi mostrare questi documenti ai tuoi superiori e dire: i tempi sono cambiati. Il cambio obbligatorio delle password è un'arcaicità, ora praticamente ufficiale. Anche un audit di sicurezza non controllerà più questo requisito (se si basa sulle norme ufficiali per la protezione di base dei computer Windows).


Estratto di un elenco delle politiche di sicurezza di base di Windows 10 v1809 e variazioni nella 1903, dove le politiche relative alla scadenza delle password non sono più applicabili. A proposito, nella nuova versione vengono anche disattivate per impostazione predefinita le account amministrativi e ospiti.

Microsoft spiega in modo chiaro nel blog perché ha abbandonato la regola del cambio obbligatorio della password: «La scadenza periodica della password protegge solo dalla possibilità che la password (o l'hash) venga rubata durante il suo periodo di validità e utilizzata da una persona non autorizzata. Se la password non è stata rubata, non ha senso cambiarla. E se hai prove che la password è stata rubata, ovviamente vorrai agire immediatamente, piuttosto che aspettare la scadenza per risolvere il problema».

Microsoft spiega che, al giorno d'oggi, è errato proteggersi contro il furto di password in questo modo: «Se si sa che è probabile che la password venga rubata, quanti giorni rappresentano un periodo di tempo accettabile per permettere al ladro di utilizzare questa password rubata? Il valore predefinito è di 42 giorni. Non sembra un tempo ridicolo? In effetti, è davvero lungo, eppure la nostra attuale impostazione di base è stata fissata a 60 giorni — prima era di 90 giorni — perché forzare un'adeguata scadenza provoca problemi a sé stante. E se la password non deve necessariamente essere rubata, si affrontano questi problemi senza alcun beneficio. Inoltre, se i tuoi utenti sono disposti a scambiare la password per un dolcetto, nessuna politica di scadenza delle password sarà di aiuto.»

Alternativa

Microsoft afferma che le sue politiche di sicurezza di base sono destinate a essere utilizzate da aziende ben gestite e attente alla sicurezza. Sono anche progettate per fungere da guida per gli auditor. Se un'organizzazione ha implementato elenchi di password vietate, autenticazione multifattore, rilevamento degli attacchi di forza bruta e rilevamento di tentativi di accesso anomali, è necessario un scadenza periodica della password? E se non hanno implementato misure di sicurezza moderne, il rinnovo della password sarà utile per loro?

La logica di Microsoft è sorprendentemente convincente. Abbiamo due opzioni:

1. L'azienda ha implementato misure di sicurezza moderne.
2. Azienda non ha implementato misure di sicurezza moderne.

Nel primo caso, il cambio periodico della password non offre vantaggi aggiuntivi.

Nel secondo caso, il cambio periodico della password è inutile.

Pertanto, invece della scadenza della password, è necessario utilizzare, prima di tutto, l'autenticazione multifattore. Le misure di sicurezza aggiuntive sono elencate sopra: elenchi di password vietate, rilevamento delle forze bruta e altri tentativi di accesso anomali.

«Il rinnovo periodico della password è una misura di protezione obsoleta e superata., — riassume Microsoft, — e non riteniamo che sia opportuno applicare alcun valore specifico per il nostro livello di sicurezza di base. Eliminandolo dal nostro standard di base, le organizzazioni possono scegliere ciò che meglio si adatta alle loro esigenze previste, senza contraddire le nostre raccomandazioni.

Risultato

Se oggi un'azienda costringe gli utenti a cambiare periodicamente le password, cosa potrebbe pensare un osservatore esterno?

1. Dati: l'azienda utilizza un meccanismo di protezione antiquato.
2. Presupposto: l'azienda non ha implementato meccanismi di protezione moderni.
3. Risultato: queste password sono più facili da ottenere e utilizzare.

Risulta quindi che il cambiamento periodico delle password rende l'azienda un obiettivo più attraente per gli attacchi.

Fonte: habr.com