ລະບົບ IT ຈໍານວນຫຼາຍມີກົດລະບຽບບັງຄັບຂອງການປ່ຽນແປງລະຫັດຜ່ານເປັນແຕ່ລະໄລຍະ. ນີ້ແມ່ນບາງທີອາດເປັນຄວາມຕ້ອງການທີ່ກຽດຊັງທີ່ສຸດແລະບໍ່ມີປະໂຫຍດຫຼາຍທີ່ສຸດຂອງລະບົບຄວາມປອດໄພ. ຜູ້ໃຊ້ບາງຄົນພຽງແຕ່ປ່ຽນຕົວເລກໃນຕອນທ້າຍເປັນການ hack ຊີວິດ.

ການປະຕິບັດນີ້ເຮັດໃຫ້ເກີດຄວາມບໍ່ສະດວກຫຼາຍ. ຢ່າງໃດກໍຕາມ, ປະຊາຊົນຕ້ອງອົດທົນ, ເພາະວ່ານີ້ ເພື່ອຄວາມປອດໄພ. ໃນປັດຈຸບັນຄໍາແນະນໍານີ້ແມ່ນບໍ່ກ່ຽວຂ້ອງຢ່າງສົມບູນ. ໃນເດືອນພຶດສະພາ 2019, ເຖິງແມ່ນວ່າ Microsoft ສຸດທ້າຍໄດ້ຍົກເລີກຂໍ້ກໍານົດສໍາລັບການປ່ຽນແປງລະຫັດຜ່ານແຕ່ລະໄລຍະຈາກລະດັບພື້ນຖານຂອງຄວາມຕ້ອງການຄວາມປອດໄພສໍາລັບ Windows 10 ສ່ວນບຸກຄົນແລະເຄື່ອງແມ່ຂ່າຍຂອງສະບັບ: ທີ່ນີ້ ຖະແຫຼງການຂອງ blog ຢ່າງເປັນທາງການ ກັບ​ບັນ​ຊີ​ລາຍ​ການ​ຂອງ​ການ​ປ່ຽນ​ແປງ​ສະ​ບັບ Windows 10 v 1903 (ຫມາຍ​ເຫດ​ປະ​ໂຫຍກ​ໄດ້​ ວາງນະໂຍບາຍການໝົດອາຍຸລະຫັດຜ່ານທີ່ຕ້ອງການປ່ຽນລະຫັດຜ່ານເປັນໄລຍະ). ກົດລະບຽບຂອງຕົນເອງແລະນະໂຍບາຍລະບົບ Windows 10 ເວີຊັນ 1903 ແລະ Windows Server 2019 ພື້ນຖານຄວາມປອດໄພ ລວມຢູ່ໃນຊຸດ Microsoft Security Compliance Toolkit 1.0.

ເຈົ້າສາມາດສະແດງເອກະສານເຫຼົ່ານີ້ຕໍ່ຜູ້ບັນຊາການຂອງເຈົ້າແລະເວົ້າວ່າ: ເວລາມີການປ່ຽນແປງ. ການ​ປ່ຽນ​ແປງ​ລະ​ຫັດ​ຜ່ານ​ທີ່​ບັງ​ຄັບ​ແມ່ນ​ເກົ່າ​ແກ່​, ໃນ​ປັດ​ຈຸ​ບັນ​ເກືອບ​ເປັນ​ທາງ​ການ​. ເຖິງແມ່ນວ່າການກວດສອບຄວາມປອດໄພຈະບໍ່ກວດສອບຄວາມຕ້ອງການນີ້ອີກຕໍ່ໄປ (ຖ້າມັນອີງໃສ່ກົດລະບຽບທາງການສໍາລັບການປົກປ້ອງພື້ນຖານຂອງຄອມພິວເຕີ Windows).


ຊິ້ນສ່ວນຂອງບັນຊີລາຍຊື່ທີ່ມີນະໂຍບາຍຄວາມປອດໄພພື້ນຖານສໍາລັບ Windows 10 v1809 ແລະການປ່ຽນແປງໃນປີ 1903, ບ່ອນທີ່ນະໂຍບາຍການຫມົດອາຍຸລະຫັດຜ່ານທີ່ສອດຄ້ອງກັນບໍ່ໄດ້ນໍາໃຊ້ອີກຕໍ່ໄປ. ໂດຍວິທີທາງການ, ໃນສະບັບໃຫມ່, ບັນຊີຜູ້ເບິ່ງແຍງແລະບັນຊີແຂກຖືກຍົກເລີກໂດຍຄ່າເລີ່ມຕົ້ນ

Microsoft ອະທິບາຍຢ່າງມີຊື່ສຽງໃນ blog post ວ່າເປັນຫຍັງມັນຈຶ່ງປະຖິ້ມກົດລະບຽບການປ່ຽນລະຫັດຜ່ານທີ່ບັງຄັບ: “ການໝົດອາຍຸລະຫັດຜ່ານເປັນໄລຍະພຽງແຕ່ປົກປ້ອງຄວາມເປັນໄປໄດ້ທີ່ລະຫັດຜ່ານ (ຫຼື hash) ຈະຖືກລັກໄປຕະຫຼອດຊີວິດ ແລະໃຊ້ໂດຍບຸກຄົນທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ. ຖ້າລະຫັດຜ່ານບໍ່ໄດ້ຖືກລັກ, ບໍ່ມີຈຸດໃດທີ່ຈະປ່ຽນມັນ. ແລະຖ້າທ່ານມີຫຼັກຖານວ່າລະຫັດຜ່ານໄດ້ຖືກລັກ, ແນ່ນອນທ່ານຈະຕ້ອງການທີ່ຈະປະຕິບັດທັນທີແທນທີ່ຈະລໍຖ້າຈົນກ່ວາມັນຫມົດອາຍຸເພື່ອແກ້ໄຂບັນຫາ."

Microsoft ອະທິບາຍຕໍ່ໄປວ່າໃນສະພາບແວດລ້ອມຂອງມື້ນີ້ມັນບໍ່ເຫມາະສົມທີ່ຈະປ້ອງກັນການລັກລະຫັດຜ່ານໂດຍໃຊ້ວິທີນີ້: "ຖ້າມັນຮູ້ວ່າລະຫັດຜ່ານອາດຈະຖືກລັກ, ໄລຍະເວລາທີ່ຍອມຮັບໄດ້ເທົ່າໃດທີ່ຈະອະນຸຍາດໃຫ້ໂຈນໄດ້. ໃຊ້ລະຫັດຜ່ານທີ່ຖືກລັກບໍ? ຄ່າເລີ່ມຕົ້ນແມ່ນ 42 ມື້. ມັນເບິ່ງຄືວ່າເປັນເວລາດົນນານທີ່ຫນ້າປະຫລາດໃຈບໍ? ແທ້ຈິງແລ້ວ, ນີ້ແມ່ນເວລາດົນນານຫຼາຍ, ແລະໃນປັດຈຸບັນພື້ນຖານຂອງພວກເຮົາໄດ້ຖືກກໍານົດຢູ່ທີ່ 60 ມື້ - ແລະກ່ອນຫນ້ານີ້ຢູ່ທີ່ 90 ມື້ - ເພາະວ່າການບັງຄັບໃຫ້ຫມົດອາຍຸເລື້ອຍໆຊີ້ໃຫ້ເຫັນບັນຫາຂອງຕົນເອງ. ແລະຖ້າລະຫັດຜ່ານບໍ່ຈໍາເປັນຖືກລັກ, ຫຼັງຈາກນັ້ນທ່ານກໍາລັງໄດ້ຮັບບັນຫາເຫຼົ່ານີ້ໂດຍບໍ່ມີຜົນປະໂຫຍດ. ນອກຈາກນັ້ນ, ຖ້າຜູ້ໃຊ້ຂອງເຈົ້າເຕັມໃຈທີ່ຈະຊື້ຂາຍລະຫັດຜ່ານສໍາລັບເຂົ້າຫນົມອົມ, ບໍ່ມີນະໂຍບາຍການຫມົດອາຍຸລະຫັດຜ່ານຈະຊ່ວຍໄດ້."

ທາງເລືອກອື່ນ

Microsoft ຂຽນວ່ານະໂຍບາຍຄວາມປອດໄພພື້ນຖານຂອງຕົນແມ່ນມີຈຸດປະສົງເພື່ອນໍາໃຊ້ໂດຍທຸລະກິດທີ່ມີການຄຸ້ມຄອງທີ່ດີ, ມີສະຕິຄວາມປອດໄພ. ພວກເຂົາຍັງມີຈຸດປະສົງເພື່ອສະຫນອງຄໍາແນະນໍາກັບຜູ້ກວດສອບ. ຖ້າອົງການດັ່ງກ່າວໄດ້ປະຕິບັດລາຍຊື່ລະຫັດຜ່ານທີ່ຖືກຫ້າມ, ການພິສູດຢືນຢັນແບບຫຼາຍປັດໃຈ, ການກວດສອບການໂຈມຕີຂອງລະຫັດຜ່ານ brute force, ແລະການກວດສອບການເຂົ້າສູ່ລະບົບທີ່ຜິດປົກກະຕິ, ຈໍາເປັນຕ້ອງຫມົດອາຍຸລະຫັດຜ່ານເປັນໄລຍະເວລາບໍ? ແລະຖ້າພວກເຂົາບໍ່ໄດ້ປະຕິບັດມາດຕະການຄວາມປອດໄພທີ່ທັນສະໄຫມ, ການຫມົດອາຍຸຂອງລະຫັດຜ່ານຈະຊ່ວຍພວກເຂົາບໍ?

ເຫດຜົນຂອງ Microsoft ແມ່ນຫນ້າປະຫລາດໃຈທີ່ຫນ້າປະຫລາດໃຈ. ພວກເຮົາມີສອງທາງເລືອກ:

1. ບໍລິສັດໄດ້ປະຕິບັດມາດຕະການຄວາມປອດໄພທີ່ທັນສະໄຫມ.
2. ບໍ​ລິ​ສັດ ບໍ່ ໄດ້​ນໍາ​ສະ​ເຫນີ​ມາດ​ຕະ​ການ​ຄວາມ​ປອດ​ໄພ​ທີ່​ທັນ​ສະ​ໄຫມ​.

ໃນກໍລະນີທໍາອິດ, ການປ່ຽນລະຫັດຜ່ານເປັນໄລຍະບໍ່ໄດ້ໃຫ້ຜົນປະໂຫຍດເພີ່ມເຕີມ.

ໃນກໍລະນີທີສອງ, ການປ່ຽນລະຫັດຜ່ານເປັນໄລຍະແມ່ນບໍ່ມີປະໂຫຍດ.

ດັ່ງນັ້ນ, ແທນທີ່ຈະເປັນວັນຫມົດອາຍຸຂອງລະຫັດຜ່ານ, ທ່ານຈໍາເປັນຕ້ອງໃຊ້, ກ່ອນອື່ນ ໝົດ, ການພິສູດຢືນຢັນຫຼາຍປັດໃຈ. ມາດ​ຕະ​ການ​ຄວາມ​ປອດ​ໄພ​ເພີ່ມ​ເຕີມ​ແມ່ນ​ໄດ້​ລະ​ບຸ​ໄວ້​ຂ້າງ​ເທິງ​: ບັນ​ຊີ​ລາຍ​ຊື່​ຂອງ​ລະ​ຫັດ​ຜ່ານ​ຫ້າມ​, ການ​ກວດ​ພົບ​ຜົນ​ບັງ​ຄັບ​ໃຊ້ brute ແລະ​ຄວາມ​ພະ​ຍາ​ຍາມ​ເຂົ້າ​ສູ່​ລະ​ບົບ​ຜິດ​ປົກ​ກະ​ຕິ​ອື່ນໆ​.

«ການໝົດອາຍຸລະຫັດຜ່ານເປັນໄລຍະເປັນມາດຕະການຄວາມປອດໄພທີ່ເກົ່າແກ່ ແລະເກົ່າແລ້ວ", Microsoft ສະຫຼຸບວ່າ, "ແລະພວກເຮົາບໍ່ເຊື່ອວ່າມີມູນຄ່າສະເພາະໃດນຶ່ງທີ່ມີມູນຄ່ານໍາໃຊ້ກັບລະດັບການປົກປ້ອງພື້ນຖານຂອງພວກເຮົາ. ໂດຍການເອົາມັນອອກຈາກພື້ນຖານຂອງພວກເຮົາ, ອົງການຈັດຕັ້ງສາມາດເລືອກສິ່ງທີ່ເຫມາະສົມກັບຄວາມຕ້ອງການຂອງເຂົາເຈົ້າຮັບຮູ້ໄດ້ດີທີ່ສຸດໂດຍບໍ່ມີການຂັດແຍ້ງກັບຄໍາແນະນໍາຂອງພວກເຮົາ."

ສະຫລຸບ

ຖ້າບໍລິສັດໃນມື້ນີ້ບັງຄັບໃຫ້ຜູ້ໃຊ້ປ່ຽນລະຫັດຜ່ານຂອງເຂົາເຈົ້າເປັນໄລຍະ, ຜູ້ສັງເກດການພາຍນອກອາດຈະຄິດແນວໃດ?

1. ມອບໃຫ້: ບໍລິສັດໃຊ້ກົນໄກປ້ອງກັນແບບເກົ່າແກ່.
2. ສົມມຸດຕິຖານ: ບໍລິສັດບໍ່ໄດ້ປະຕິບັດກົນໄກປ້ອງກັນທີ່ທັນສະໄຫມ.
3. ສະຫຼຸບ: ລະ​ຫັດ​ຜ່ານ​ເຫຼົ່າ​ນີ້​ແມ່ນ​ງ່າຍ​ທີ່​ຈະ​ໄດ້​ຮັບ​ແລະ​ນໍາ​ໃຊ້​.

ມັນປະກົດວ່າການປ່ຽນແປງລະຫັດຜ່ານເປັນແຕ່ລະໄລຍະເຮັດໃຫ້ບໍລິສັດເປັນເປົ້າຫມາຍທີ່ດຶງດູດຫຼາຍສໍາລັບການໂຈມຕີ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com