למערכות IT רבות יש כלל מחייב של שינוי סיסמאות מעת לעת. זו אולי הדרישה השנואה והחסרת ביותר של מערכות אבטחה. חלק מהמשתמשים פשוט משנים את המספר בסוף כפריצה לחיים.

תרגול זה גרם לאי נוחות רבה. עם זאת, אנשים נאלצו לסבול, כי זה למען הבטיחות. עכשיו העצה הזו לגמרי לא רלוונטית. במאי 2019, אפילו מיקרוסופט הסירה סופית את הדרישה לשינויי סיסמאות תקופתיים מהרמה הבסיסית של דרישות האבטחה עבור גרסאות אישיות ושרתים של Windows 10: כאן הצהרת הבלוג הרשמית עם רשימה של שינויים בגרסה Windows 10 v 1903 (שים לב לביטוי ביטול מדיניות תפוגת הסיסמה הדורשת שינויי סיסמה תקופתיים). הכללים עצמם ומדיניות המערכת Windows 10 גרסה 1903 ו-Windows Server 2019 Baseline Security כלול בערכה Microsoft Security Compliance Toolkit 1.0.

אתה יכול להציג את המסמכים האלה לממונים עליך ולומר: הזמנים השתנו. שינויי סיסמאות חובה הם ארכאיים, עכשיו כמעט רשמיים. אפילו ביקורת אבטחה לא תבדוק עוד דרישה זו (אם היא מבוססת על הכללים הרשמיים להגנה בסיסית על מחשבי Windows).


קטע של רשימה עם מדיניות אבטחה בסיסית עבור Windows 10 v1809 ושינויים ב-1903, כאשר מדיניות תפוגת הסיסמה המתאימה אינה חלה עוד. אגב, בגרסה החדשה, גם חשבונות מנהל ואורחים מבוטלים כברירת מחדל

מיקרוסופט מסבירה בצורה מפורסמת בפוסט בבלוג מדוע היא נטשה את כלל החלפת הסיסמה החובה: "תפוגה תקופתית של סיסמה מגינה רק מפני האפשרות שהסיסמה (או ה-hash) תיגנב במהלך חייה ותשתמש באדם לא מורשה. אם הסיסמה לא נגנבת, אין טעם לשנות אותה. ואם יש לך הוכחות לכך שסיסמה נגנבה, ברור שתרצה לפעול מיד במקום לחכות עד שתוקפו יפוג כדי לתקן את הבעיה".

מיקרוסופט ממשיכה ומסבירה כי בסביבה של ימינו אין זה ראוי להגן מפני גניבת סיסמאות בשיטה זו: "אם ידוע שסביר להניח שסיסמה תיגנב, כמה ימים הוא פרק זמן מקובל לאפשר לגנב להשתמש בסיסמה הגנובה הזו? ערך ברירת המחדל הוא 42 ימים. זה לא נראה כמו הרבה זמן עד כדי גיחוך? אכן, זה זמן רב מאוד, ובכל זאת הבסיס הנוכחי שלנו נקבע על 60 יום - ולפני כן על 90 יום - כי כפיית תפוגות תכופות מציגה בעיות משלה. ואם הסיסמה לא בהכרח נגנבת, אז אתה רוכש את הבעיות האלה ללא שום תועלת. חוץ מזה, אם המשתמשים שלך מוכנים להחליף סיסמה לממתקים, שום מדיניות תפוגת סיסמה לא תעזור."

חלופה

מיקרוסופט כותבת שמדיניות האבטחה הבסיסית שלה מיועדת לשימוש על ידי עסקים מנוהלים היטב ומודעים לאבטחה. הם נועדו גם לספק הדרכה למבקרים. אם ארגון כזה הטמיע רשימות סיסמאות אסורות, אימות רב-גורמי, זיהוי התקפת כוח גס של סיסמה וזיהוי ניסיונות כניסה חריגים, האם נדרשת תפוגה תקופתית של הסיסמה? ואם הם לא יישמו אמצעי אבטחה מודרניים, האם תפוגת הסיסמה תעזור להם?

ההיגיון של מיקרוסופט משכנע באופן מפתיע. יש לנו שתי אפשרויות:

1. החברה הטמיעה אמצעי אבטחה מודרניים.
2. חברה לא הציגה אמצעי אבטחה מודרניים.

במקרה הראשון, שינוי תקופתי של הסיסמה אינו מספק הטבות נוספות.

במקרה השני, שינוי תקופתי של הסיסמה הוא חסר תועלת.

לפיכך, במקום תאריך התפוגה של הסיסמה, עליך להשתמש, קודם כל, אימות רב-גורמי. אמצעי אבטחה נוספים מפורטים למעלה: רשימות של סיסמאות אסורות, זיהוי של כוח גס וניסיונות כניסה חריגים אחרים.

«תפוגת סיסמה תקופתית היא אמצעי אבטחה עתיק ומיושן", מסכמת מיקרוסופט, "ואיננו מאמינים שיש ערך ספציפי שכדאי להחיל על רמת ההגנה הבסיסית שלנו. על ידי הסרתו מקו הבסיס שלנו, ארגונים יכולים לבחור את מה שמתאים ביותר לצרכיהם הנתפסים מבלי להתנגש עם ההמלצות שלנו".

פלט

אם חברה כיום מאלצת משתמשים לשנות את הסיסמאות שלהם מעת לעת, מה יכול צופה מבחוץ לחשוב?

1. בהתחשב you החברה משתמשת במנגנון הגנה ארכאי.
2. הנחה: החברה לא הטמיעה מנגנוני הגנה מודרניים.
3. מסקנה: קל יותר להשיג ולהשתמש סיסמאות אלו.

מסתבר ששינוי סיסמאות מעת לעת הופך חברה למטרה אטרקטיבית יותר להתקפות.

מקור: www.habr.com