ប្រព័ន្ធ IT ជាច្រើនមានច្បាប់ជាកាតព្វកិច្ចនៃការផ្លាស់ប្តូរពាក្យសម្ងាត់ជាទៀងទាត់។ នេះប្រហែលជាតម្រូវការដែលស្អប់បំផុត និងគ្មានប្រយោជន៍បំផុតនៃប្រព័ន្ធសុវត្ថិភាព។ អ្នក​ប្រើ​មួយ​ចំនួន​គ្រាន់​តែ​ផ្លាស់​ប្តូរ​លេខ​នៅ​ខាង​ចុង​ជា​ការ hack ជីវិត។

ការអនុវត្តនេះបណ្តាលឱ្យមានការរអាក់រអួលច្រើន។ ទោះ​ជា​យ៉ាង​ណា មនុស្ស​ត្រូវ​ស៊ូ​ទ្រាំ​ព្រោះ​រឿង​នេះ។ ដើម្បីសុវត្ថិភាព. ឥឡូវនេះដំបូន្មាននេះគឺមិនពាក់ព័ន្ធទាំងស្រុង។ នៅខែឧសភា ឆ្នាំ 2019 សូម្បីតែ Microsoft ទីបំផុតបានដកចេញនូវតម្រូវការសម្រាប់ការផ្លាស់ប្តូរពាក្យសម្ងាត់តាមកាលកំណត់ពីកម្រិតមូលដ្ឋាននៃតម្រូវការសុវត្ថិភាពសម្រាប់កំណែផ្ទាល់ខ្លួន និងម៉ាស៊ីនមេរបស់ Windows 10៖ នៅទីនេះ សេចក្តីថ្លែងការណ៍ប្លក់ផ្លូវការ ជាមួយនឹងបញ្ជីនៃការផ្លាស់ប្តូរទៅកំណែ Windows 10 v 1903 (ចំណាំឃ្លា ទម្លាក់គោលការណ៍ផុតកំណត់ពាក្យសម្ងាត់ដែលទាមទារការផ្លាស់ប្តូរពាក្យសម្ងាត់តាមកាលកំណត់) ច្បាប់ខ្លួនឯង និងគោលការណ៍ប្រព័ន្ធ Windows 10 កំណែ 1903 និង Windows Server 2019 មូលដ្ឋានសុវត្ថិភាព រួមបញ្ចូលនៅក្នុងកញ្ចប់ កញ្ចប់ឧបករណ៍អនុលោមតាមសុវត្ថិភាពរបស់ Microsoft 1.0.

អ្នកអាចបង្ហាញឯកសារទាំងនេះដល់ថ្នាក់លើរបស់អ្នក ហើយនិយាយថា៖ ពេលវេលាបានផ្លាស់ប្តូរ។ ការ​ផ្លាស់​ប្តូ​រ​ពាក្យ​សម្ងាត់​ជា​កាតព្វកិច្ច​គឺ​ចាស់, ឥឡូវ​នេះ​ស្ទើរ​តែ​ជា​ផ្លូវការ​។ សូម្បីតែសវនកម្មសុវត្ថិភាពក៏នឹងមិនពិនិត្យមើលតម្រូវការនេះទៀតទេ (ប្រសិនបើវាផ្អែកលើច្បាប់ផ្លូវការសម្រាប់ការការពារជាមូលដ្ឋាននៃកុំព្យូទ័រវីនដូ)។


បំណែកនៃបញ្ជីដែលមានគោលការណ៍សុវត្ថិភាពជាមូលដ្ឋានសម្រាប់ Windows 10 v1809 និងការផ្លាស់ប្តូរក្នុងឆ្នាំ 1903 ដែលគោលការណ៍ផុតកំណត់ពាក្យសម្ងាត់ដែលត្រូវគ្នាលែងអនុវត្តទៀតហើយ។ ដោយវិធីនេះ នៅក្នុងកំណែថ្មី គណនីអ្នកគ្រប់គ្រង និងភ្ញៀវក៏ត្រូវបានលុបចោលតាមលំនាំដើមផងដែរ។

Microsoft ពន្យល់យ៉ាងល្បីនៅក្នុងការបង្ហោះប្លុកថាហេតុអ្វីបានជាវាបោះបង់ចោលច្បាប់ផ្លាស់ប្តូរពាក្យសម្ងាត់ជាកាតព្វកិច្ច៖ "ការផុតកំណត់ពាក្យសម្ងាត់តាមកាលកំណត់ការពារតែប្រឆាំងនឹងលទ្ធភាពដែលពាក្យសម្ងាត់ (ឬសញ្ញា) នឹងត្រូវបានលួចក្នុងអំឡុងពេលពេញមួយជីវិតរបស់វា ហើយត្រូវបានប្រើប្រាស់ដោយបុគ្គលដែលគ្មានការអនុញ្ញាត។ ប្រសិនបើពាក្យសម្ងាត់មិនត្រូវបានលួចទេ វាគ្មានចំណុចណាមួយក្នុងការផ្លាស់ប្តូរវាទេ។ ហើយ​ប្រសិន​បើ​អ្នក​មាន​ភស្តុតាង​ថា​លេខ​សម្ងាត់​ត្រូវ​បាន​គេ​លួច អ្នក​ច្បាស់​ជា​ចង់​ធ្វើ​ភ្លាមៗ​ជាជាង​រង់ចាំ​រហូត​ដល់​វា​ផុត​កំណត់​ដើម្បី​ដោះស្រាយ​បញ្ហា។"

Microsoft បន្តពន្យល់ថា ក្នុងបរិយាកាសសព្វថ្ងៃនេះ វាមិនសមស្របទេក្នុងការការពារប្រឆាំងនឹងការលួចពាក្យសម្ងាត់ដោយប្រើវិធីសាស្ត្រនេះ៖ “ប្រសិនបើគេដឹងថាពាក្យសម្ងាត់ទំនងជាត្រូវបានគេលួច តើរយៈពេលប៉ុន្មានថ្ងៃគឺជារយៈពេលដែលអាចទទួលយកបានដើម្បីអនុញ្ញាតឱ្យចោរចូល។ ប្រើពាក្យសម្ងាត់ដែលលួចនោះ? តម្លៃលំនាំដើមគឺ 42 ថ្ងៃ។ វាហាក់ដូចជាមិនគួរឱ្យអស់សំណើចយូរទេ? ប្រាកដណាស់ នេះគឺជាពេលវេលាដ៏យូរណាស់ហើយ ប៉ុន្តែបន្ទាត់មូលដ្ឋានបច្ចុប្បន្នរបស់យើងត្រូវបានកំណត់នៅ 60 ថ្ងៃ - ហើយពីមុននៅ 90 ថ្ងៃ - ដោយសារតែការបង្ខំឱ្យផុតកំណត់ញឹកញាប់បង្ហាញពីបញ្ហារបស់វា។ ហើយប្រសិនបើពាក្យសម្ងាត់មិនចាំបាច់ត្រូវបានគេលួចទេនោះ អ្នកកំពុងទទួលបានបញ្ហាទាំងនេះដោយគ្មានប្រយោជន៍អ្វីឡើយ។ លើសពីនេះ ប្រសិនបើអ្នកប្រើប្រាស់របស់អ្នកមានឆន្ទៈក្នុងការជួញដូរពាក្យសម្ងាត់សម្រាប់ស្ករគ្រាប់នោះ គ្មានគោលការណ៍ផុតកំណត់លេខសម្ងាត់ណាមួយនឹងជួយទេ»។

Альтернатива

ក្រុមហ៊ុន Microsoft សរសេរថាគោលការណ៍សុវត្ថិភាពមូលដ្ឋានរបស់ខ្លួនត្រូវបានបម្រុងទុកសម្រាប់ប្រើប្រាស់ដោយអាជីវកម្មដែលគ្រប់គ្រងបានល្អ និងដឹងពីសុវត្ថិភាព។ ពួកគេក៏មានបំណងផ្តល់ការណែនាំដល់សវនករផងដែរ។ ប្រសិនបើស្ថាប័នបែបនេះបានអនុវត្តបញ្ជីពាក្យសម្ងាត់ដែលត្រូវបានហាមឃាត់ ការផ្ទៀងផ្ទាត់ពហុកត្តា ការរកឃើញពាក្យសម្ងាត់ brute force detection និងការស្វែងរកការប៉ុនប៉ងចូលដែលមិនប្រក្រតី តើការផុតកំណត់ពាក្យសម្ងាត់តាមកាលកំណត់តម្រូវឱ្យប្រើដែរឬទេ? ហើយ​ប្រសិនបើ​ពួកគេ​មិន​បាន​អនុវត្ត​វិធានការ​សុវត្ថិភាព​ទំនើប​ទេ តើ​ការ​ផុតកំណត់​លេខ​សម្ងាត់​អាចជួយ​ពួកគេ​បានទេ?

តក្កវិជ្ជារបស់ Microsoft គឺគួរឱ្យភ្ញាក់ផ្អើលគួរឱ្យជឿ។ យើងមានជម្រើសពីរ៖

1. ក្រុមហ៊ុនបានអនុវត្តវិធានការសន្តិសុខទំនើប។
2. ក្រុមហ៊ុននេះ មិនមាន បានដាក់ចេញវិធានការសន្តិសុខទំនើប។

ក្នុងករណីដំបូង ការផ្លាស់ប្តូរពាក្យសម្ងាត់ជាទៀងទាត់មិនផ្តល់អត្ថប្រយោជន៍បន្ថែមទេ។

ក្នុងករណីទី XNUMX ការផ្លាស់ប្តូរពាក្យសម្ងាត់ជាទៀងទាត់គឺគ្មានប្រយោជន៍ទេ។

ដូច្នេះជំនួសឱ្យកាលបរិច្ឆេទផុតកំណត់ពាក្យសម្ងាត់ អ្នកត្រូវប្រើ ជាដំបូងនៃការទាំងអស់ ការផ្ទៀងផ្ទាត់ពហុកត្តា. វិធានការសុវត្ថិភាពបន្ថែមត្រូវបានរាយបញ្ជីខាងលើ៖ បញ្ជីពាក្យសម្ងាត់ដែលហាមឃាត់ ការរកឃើញកម្លាំងអាក្រក់ និងការប៉ុនប៉ងចូលដែលមិនប្រក្រតីផ្សេងទៀត។

«ការផុតកំណត់ពាក្យសម្ងាត់តាមកាលកំណត់ គឺជាវិធានការសុវត្ថិភាពបុរាណ និងហួសសម័យ", Microsoft សន្និដ្ឋាន "ហើយយើងមិនជឿថាមានតម្លៃជាក់លាក់ណាមួយដែលសមនឹងអនុវត្តចំពោះកម្រិតការពារមូលដ្ឋានរបស់យើងទេ។ តាមរយៈ​ការ​យក​វា​ចេញ​ពី​បន្ទាត់​មូលដ្ឋាន​របស់​យើង អង្គការ​អាច​ជ្រើសរើស​អ្វី​ដែល​ស័ក្តិសម​បំផុត​នឹង​តម្រូវការ​ដែល​គេ​យល់​ឃើញ​ដោយ​មិន​មាន​ការ​ប៉ះទង្គិច​ជាមួយ​នឹង​អនុសាសន៍​របស់​យើង»។

សេចក្តីសន្និដ្ឋាន

ប្រសិនបើ​ក្រុមហ៊ុន​សព្វថ្ងៃ​បង្ខំ​ឱ្យ​អ្នក​ប្រើ​ប្តូរ​លេខ​សម្ងាត់​តាម​កាលកំណត់ តើ​អ្នក​សង្កេតការណ៍​ខាងក្រៅ​អាច​គិត​យ៉ាង​ណា​?

1. បានផ្តល់ឱ្យ៖ ក្រុមហ៊ុនប្រើយន្តការការពារបុរាណ។
2. ការសន្មត់៖ ក្រុមហ៊ុនមិនបានអនុវត្តយន្តការការពារទំនើបទេ។
3. សេចក្តីសន្និដ្ឋាន: ពាក្យ​សម្ងាត់​ទាំង​នេះ​ងាយ​ស្រួល​ក្នុង​ការ​ទទួល​បាន​និង​ប្រើ​ប្រាស់។

វាប្រែថាការផ្លាស់ប្តូរពាក្យសម្ងាត់ជាទៀងទាត់ធ្វើឱ្យក្រុមហ៊ុនមួយក្លាយជាគោលដៅទាក់ទាញបន្ថែមទៀតសម្រាប់ការវាយប្រហារ។

ប្រភព: www.habr.com