Akeh sistem IT duwe aturan wajib ngganti tembung sandhi kanthi periodik. Iki bisa uga minangka syarat sistem keamanan sing paling disengiti lan paling ora ana gunane. Sawetara pangguna mung ngganti nomer ing pungkasan minangka hack urip.

Laku iki njalari akèh ora trep. Nanging, wong kudu keno, amarga iki kanggo safety. Saiki saran iki pancen ora ana hubungane. Ing Mei 2019, malah Microsoft pungkasane ngilangi syarat kanggo owah-owahan tembung sandi periodik saka tingkat dhasar syarat keamanan kanggo versi pribadi lan server Windows 10: kene statement blog resmi kanthi dhaptar owah-owahan ing versi Windows 10 v 1903 (cathetan frase Mbusak kabijakan kadaluwarsa sandi sing mbutuhake owah-owahan tembung sandhi kanthi periodik). Aturan dhewe lan kabijakan sistem Windows 10 Versi 1903 lan Windows Server 2019 Security Baseline klebu ing kit Toolkit Kepatuhan Keamanan Microsoft 1.0.

Sampeyan bisa nuduhake dokumen kasebut menyang atasan lan ujar: jaman wis diganti. Owah-owahan tembung sandhi wajib wis kuno, saiki meh resmi. Malah audit keamanan ora bakal maneh mriksa syarat iki (yen adhedhasar aturan resmi kanggo pangayoman dhasar saka komputer Windows).


Fragmen dhaptar kanthi kabijakan keamanan dhasar kanggo Windows 10 v1809 lan owah-owahan ing taun 1903, ing ngendi kabijakan kadaluwarsa sandi sing cocog ora ditrapake maneh. Miturut cara, ing versi anyar, administrator lan akun tamu uga dibatalake minangka standar

Microsoft misuwur nerangake ing postingan blog kenapa dheweke nolak aturan pangowahan tembung sandhi wajib: "Kadaluwarsa tembung sandi periodik mung nglindhungi kemungkinan sandhi (utawa hash) bakal dicolong sajrone umure lan digunakake dening wong sing ora sah. Yen tembung sandhi ora dicolong, ora ana gunane kanggo ngganti. Lan yen sampeyan duwe bukti yen tembung sandhi wis dicolong, sampeyan mesthi pengin langsung tumindak tinimbang ngenteni nganti kadaluwarsa kanggo ndandani masalah kasebut."

Microsoft terus nerangake manawa ing lingkungan saiki ora cocog kanggo nglindhungi nyolong tembung sandhi kanthi nggunakake metode iki: "Yen dingerteni manawa tembung sandhi bisa dicolong, pinten dina wektu sing bisa ditrima kanggo ngidini maling nyolong. nggunakake sandi dicolong? Nilai standar yaiku 42 dina. Apa ora koyone wektu ridiculously dawa? Pancen, iki wektu sing suwe banget, nanging garis dasar saiki wis disetel ing 60 dina - lan sadurunge 90 dina - amarga meksa kadaluwarsa sing kerep nyebabake masalah dhewe. Lan yen tembung sandhi ora kudu dicolong, mula sampeyan entuk masalah kasebut tanpa entuk manfaat. Kajaba iku, yen pangguna sampeyan gelem ngganti tembung sandhi kanggo permen, ora ana kabijakan kadaluwarsa tembung sandi sing bakal mbantu.

Alternatif

Microsoft nulis manawa kabijakan keamanan dhasar kasebut ditrapake kanggo bisnis sing dikelola kanthi apik lan sadar keamanan. Dheweke uga dimaksudake kanggo menehi panuntun dhumateng auditor. Yen organisasi kasebut wis ngetrapake dhaptar tembung sandhi sing dilarang, otentikasi multi-faktor, deteksi serangan brute force sandhi, lan deteksi nyoba mlebu sing anomali, apa kudu kadaluwarsa tembung sandhi? Lan yen durung ngetrapake langkah-langkah keamanan modern, apa kadaluwarsa sandi bakal mbantu?

Logika Microsoft kaget banget. Kita duwe rong pilihan:

1. Perusahaan wis ngetrapake langkah-langkah keamanan modern.
2. Tenan ora wis ngenalaken ngukur keamanan modern.

Ing kasus sing sepisanan, ganti sandhi kanthi periodik ora menehi keuntungan tambahan.

Ing kasus kapindho, ganti sandhi kanthi periodik ora ana gunane.

Dadi, tinimbang tanggal kadaluwarsa sandi, sampeyan kudu nggunakake, pisanan kabeh, otentikasi multi-faktor. Langkah-langkah keamanan tambahan kadhaptar ing ndhuwur: dhaptar sandhi sing dilarang, deteksi brute force lan upaya mlebu anomali liyane.

«Kadaluwarsa sandi periodik minangka langkah keamanan kuna lan ketinggalan jaman", Microsoft nyimpulake, "lan kita ora ngandel yen ana nilai tartamtu sing kudu ditrapake kanggo tingkat perlindungan garis dasar. Kanthi nyopot saka garis dasar, organisasi bisa milih sing paling cocog karo kabutuhan sing dirasakake tanpa bertentangan karo rekomendasi kita.

kesimpulan

Yen perusahaan saiki meksa pangguna ngganti tembung sandhi kanthi periodik, apa sing bisa dipikirake pengamat ing njaba?

1. Given: perusahaan nggunakake mekanisme pertahanan kuna.
2. Asumsi: perusahaan wis ora dipun ginakaken mekanisme protèktif modern.
3. Kesimpulan: sandhi iki luwih gampang kanggo njupuk lan nggunakake.

Pranyata owah-owahan tembung sandhi kanthi periodik ndadekake perusahaan dadi target serangan sing luwih menarik.

Source: www.habr.com