ბევრ IT სისტემას აქვს პაროლების პერიოდულად შეცვლის სავალდებულო წესი. ეს, ალბათ, უსაფრთხოების სისტემების ყველაზე საძულველი და ყველაზე უსარგებლო მოთხოვნაა. ზოგიერთი მომხმარებელი უბრალოდ ცვლის ნომერს ბოლოს, როგორც სიცოცხლის ჰაკი.

ამ პრაქტიკამ ბევრი უხერხულობა გამოიწვია. თუმცა, ხალხს უნდა გაუძლო, რადგან ეს უსაფრთხოების მიზნით. ახლა ეს რჩევა სრულიად შეუსაბამოა. 2019 წლის მაისში, Microsoft-მაც კი საბოლოოდ ამოიღო პაროლის პერიოდული ცვლილებების მოთხოვნა Windows 10-ის პირადი და სერვერული ვერსიებისთვის უსაფრთხოების მოთხოვნების ძირითადი დონიდან: აქ ოფიციალური ბლოგის განცხადება Windows 10 v 1903 ვერსიის ცვლილებების ჩამონათვალით (გაითვალისწინეთ ფრაზა პაროლის ვადის გასვლის პოლიტიკის გაუქმება, რომელიც მოითხოვს პაროლის პერიოდულ შეცვლას). თავად წესები და სისტემის პოლიტიკა Windows 10 ვერსია 1903 და Windows Server 2019 უსაფრთხოების საბაზისო ხაზი კომპლექტში შედის Microsoft Security Compliance Toolkit 1.0.

თქვენ შეგიძლიათ აჩვენოთ ეს დოკუმენტები თქვენს უფროსებს და თქვათ: დრო შეიცვალა. პაროლის სავალდებულო ცვლილებები არის არქაული, ახლა თითქმის ოფიციალური. უსაფრთხოების აუდიტიც კი აღარ შეამოწმებს ამ მოთხოვნას (თუ ის ეფუძნება Windows კომპიუტერების ძირითადი დაცვის ოფიციალურ წესებს).


სიის ფრაგმენტი Windows 10 v1809-ის ძირითადი უსაფრთხოების პოლიტიკით და ცვლილებები 1903 წელს, სადაც პაროლის ვადის გასვლის შესაბამისი პოლიტიკა აღარ გამოიყენება. სხვათა შორის, ახალ ვერსიაში ნაგულისხმევად გაუქმებულია ადმინისტრატორის და სტუმრის ანგარიშებიც

მაიკროსოფტი კარგად განმარტავს ბლოგპოსტში, თუ რატომ მიატოვა პაროლის შეცვლის სავალდებულო წესი: „პაროლის პერიოდული ვადის გასვლა მხოლოდ იცავს იმ შესაძლებლობისგან, რომ პაროლი (ან ჰეში) მოიპაროს მისი სიცოცხლის განმავლობაში და გამოიყენოს არაავტორიზებული პირის მიერ. თუ პაროლი არ მოიპარეს, მის შეცვლას აზრი არ აქვს. და თუ თქვენ გაქვთ მტკიცებულება, რომ პაროლი მოიპარეს, აშკარად გსურთ დაუყოვნებლივ იმოქმედოთ, ვიდრე დაელოდოთ ვადის ამოწურვას პრობლემის გადასაჭრელად."

Microsoft განაგრძობს განმარტავს, რომ დღევანდელ გარემოში არ არის მიზანშეწონილი პაროლის ქურდობისაგან დაცვა ამ მეთოდის გამოყენებით: „თუ ცნობილია, რომ პაროლის მოპარვის ალბათობაა, რამდენი დღეა მისაღები, რომ ქურდი მისცეს უფლებას. გამოიყენე ეს მოპარული პაროლი? ნაგულისხმევი მნიშვნელობა არის 42 დღე. სასაცილოდ დიდი დრო არ ჩანს? მართლაც, ეს ძალიან დიდი დროა და, მიუხედავად ამისა, ჩვენი ამჟამინდელი საბაზისო მაჩვენებელი დაწესდა 60 დღეზე - და ადრე 90 დღეზე - რადგან ხშირი ვადის გასვლის იძულება იწვევს საკუთარ პრობლემებს. და თუ პაროლი სულაც არ არის მოპარული, მაშინ ამ პრობლემებს უსარგებლოდ იძენთ. გარდა ამისა, თუ თქვენს მომხმარებლებს სურთ შეცვალონ პაროლი ტკბილეულზე, პაროლის ვადის გასვლის პოლიტიკა არ დაეხმარება. ”

ალტერნატივა

მაიკროსოფტი წერს, რომ მისი საბაზისო უსაფრთხოების პოლიტიკა განკუთვნილია კარგად მართული, უსაფრთხოების გათვითცნობიერებული ბიზნესების გამოსაყენებლად. ისინი ასევე მიზნად ისახავს აუდიტორებისთვის ხელმძღვანელობის მიწოდებას. თუ ასეთმა ორგანიზაციამ დანერგა აკრძალული პაროლის სიები, მრავალფაქტორიანი ავთენტიფიკაცია, პაროლის უხეში ძალის შეტევის გამოვლენა და ანომალიური შესვლის მცდელობის გამოვლენა, საჭიროა პაროლის პერიოდული ვადის გასვლა? და თუ არ დანერგეს უსაფრთხოების თანამედროვე ზომები, პაროლის ვადის გასვლა ეშველება?

Microsoft-ის ლოგიკა საოცრად დამაჯერებელია. ჩვენ გვაქვს ორი ვარიანტი:

1. კომპანიამ დანერგა უსაფრთხოების თანამედროვე ზომები.
2. კომპანია არარის დანერგა უსაფრთხოების თანამედროვე ზომები.

პირველ შემთხვევაში, პაროლის პერიოდული შეცვლა არ იძლევა დამატებით სარგებელს.

მეორე შემთხვევაში პაროლის პერიოდულად შეცვლა აზრი არ აქვს.

ამრიგად, პაროლის ვადის გასვლის თარიღის ნაცვლად, პირველ რიგში უნდა გამოიყენოთ მრავალფაქტორიანი ავთენტიფიკაცია. უსაფრთხოების დამატებითი ზომები ჩამოთვლილია ზემოთ: აკრძალული პაროლების სიები, უხეში ძალის გამოვლენა და სხვა ანომალიური შესვლის მცდელობები.

«პაროლის პერიოდული ვადის გასვლა უძველესი და მოძველებული უსაფრთხოების ღონისძიებაა", ასკვნის მაიკროსოფტი, "და ჩვენ არ გვჯერა, რომ რაიმე კონკრეტული მნიშვნელობის გამოყენება ღირს ჩვენი საბაზისო დაცვის დონეზე. ჩვენი საბაზისოდან ამოღებით, ორგანიზაციებს შეუძლიათ აირჩიონ ის, რაც საუკეთესოდ შეესაბამება მათ აღქმულ საჭიროებებს ჩვენს რეკომენდაციებთან წინააღმდეგობის გარეშე.”

გამოყვანის

თუ კომპანია დღეს აიძულებს მომხმარებლებს პერიოდულად შეცვალონ პაროლები, რა შეიძლება იფიქროს გარე დამკვირვებელმა?

1. მაისი კომპანია იყენებს არქაულ თავდაცვის მექანიზმს.
2. Ვარაუდი: კომპანიას არ აქვს დანერგილი თანამედროვე დამცავი მექანიზმები.
3. დასკვნა: ამ პაროლების მიღება და გამოყენება უფრო ადვილია.

გამოდის, რომ პაროლების პერიოდულად შეცვლა კომპანიას უფრო მიმზიდველ სამიზნედ აქცევს თავდასხმებისთვის.

წყარო: www.habr.com