많은 IT 시스템에는 비밀번호를 주기적으로 변경하는 필수 규칙이 있습니다. 이것은 아마도 보안 시스템에서 가장 미워하고 가장 쓸모없는 요구 사항일 것입니다. 일부 사용자는 마지막에 구명 해킹으로 번호를 변경합니다.

이 관행은 많은 불편을 초래했습니다. 하지만 사람들은 이를 참아야 했습니다. 안전을 위해. 이제 이 조언은 전혀 관련이 없습니다. 2019년 10월, Microsoft조차도 Windows XNUMX의 개인 및 서버 버전에 대한 기본 보안 요구 사항 수준에서 정기적인 암호 변경 요구 사항을 마침내 제거했습니다. 공식 블로그 성명 버전 Windows 10 v 1903에 대한 변경 사항 목록이 포함되어 있습니다(문구 참고). 정기적인 비밀번호 변경이 필요한 비밀번호 만료 정책 삭제). 규칙 자체와 시스템 정책 Windows 10 버전 1903 및 Windows Server 2019 보안 기준 키트에 포함되어 있습니다 Microsoft 보안 규정 준수 도구 키트 1.0.

이 문서를 상사에게 보여주고 시대가 바뀌었다고 말할 수 있습니다. 필수 비밀번호 변경은 구식이며 이제 거의 공식화되었습니다. 보안 감사에서도 더 이상 이 요구 사항을 확인하지 않습니다(Windows 컴퓨터의 기본 보호에 대한 공식 규칙을 기반으로 하는 경우).


Windows 10 v1809에 대한 기본 보안 정책과 1903년 변경 사항이 포함된 목록의 일부입니다. 해당 비밀번호 만료 정책은 더 이상 적용되지 않습니다. 그런데 새 버전에서는 관리자 계정과 게스트 계정도 기본적으로 취소됩니다.

Microsoft는 블로그 게시물에서 필수 비밀번호 변경 규칙을 포기한 이유를 다음과 같이 유명하게 설명합니다. “정기적인 비밀번호 만료는 비밀번호(또는 해시)가 수명 동안 도난당하여 승인되지 않은 사람이 사용할 가능성으로부터만 보호합니다. 비밀번호를 도난당하지 않았다면 변경할 필요가 없습니다. 그리고 비밀번호가 도난당했다는 증거가 있는 경우 문제 해결을 위해 비밀번호가 만료될 때까지 기다리기보다는 즉시 조치를 취하는 것이 좋습니다."

Microsoft는 계속해서 오늘날의 환경에서는 이 방법을 사용하여 비밀번호 도난을 방지하는 것이 적절하지 않다고 설명합니다. 훔친 비밀번호를 사용해? 기본값은 42일입니다. 엄청나게 오랜 시간이 걸린 것 같지 않나요? 실제로 이것은 매우 긴 시간이지만 빈번한 만료를 강제하면 자체적인 문제가 발생하기 때문에 현재 기준은 60일로 설정되었으며 이전에는 90일로 설정되었습니다. 그리고 비밀번호가 반드시 도난당하는 것이 아니라면 이러한 문제는 아무런 이익도 없이 발생하게 됩니다. 게다가 사용자가 비밀번호를 사탕과 교환하려는 경우 비밀번호 만료 정책은 도움이 되지 않습니다.”

Альтернатива

Microsoft는 기본 보안 정책이 잘 관리되고 보안에 민감한 기업에서 사용하도록 고안되었다고 기록합니다. 이는 또한 감사자에게 지침을 제공하기 위한 것입니다. 그러한 조직이 금지된 비밀번호 목록, 다단계 인증, 비밀번호 무차별 대입 공격 탐지 및 비정상적인 로그인 시도 감지를 구현한 경우 정기적인 비밀번호 만료가 필요합니까? 현대적인 보안 조치를 구현하지 않은 경우 비밀번호 만료가 도움이 될까요?

마이크로소프트의 논리는 놀라울 정도로 설득력이 있다. 우리에게는 두 가지 옵션이 있습니다:

1. 회사는 현대적인 보안 조치를 구현했습니다.
2. 회사 아니 현대적인 보안 조치를 도입했습니다.

첫 번째 경우에는 정기적으로 비밀번호를 변경해도 추가적인 이점이 제공되지 않습니다.

두 번째 경우에는 비밀번호를 주기적으로 변경하는 것이 쓸모가 없습니다.

따라서 비밀번호 만료일 대신 우선, 다단계 인증. 위에 나열된 추가 보안 조치는 금지된 비밀번호 목록, 무차별 대입 탐지 및 기타 비정상적인 로그인 시도입니다.

«정기적인 비밀번호 만료는 오래되고 오래된 보안 조치입니다."라고 Microsoft는 결론을 내립니다. "그리고 기본 보호 수준에 적용할 만한 특정 가치가 없다고 생각합니다. 이를 기준에서 제거함으로써 조직은 권장 사항과 충돌하지 않고 인식된 요구 사항에 가장 적합한 것을 선택할 수 있습니다."

출력

오늘날 회사에서 사용자에게 주기적으로 비밀번호를 변경하도록 강요한다면 외부 관찰자는 어떻게 생각할까요?

1. 감안할 때 : 회사는 구식 방어 메커니즘을 사용합니다.
2. 추정: 회사는 현대적인 보호 메커니즘을 구현하지 않았습니다.
3. 결론 : 이러한 비밀번호는 얻고 사용하기가 더 쉽습니다.

주기적으로 비밀번호를 변경하면 회사가 공격 대상이 되기 쉽습니다.

출처 : habr.com