Многу ИТ системи имаат задолжително правило за периодично менување на лозинките. Ова е можеби најомразениот и најбескорисниот услов на безбедносните системи. Некои корисници едноставно го менуваат бројот на крајот како животен хак.

Оваа практика предизвика многу непријатности. Меѓутоа, луѓето мораа да издржат, бидејќи ова заради безбедноста. Сега овој совет е сосема ирелевантен. Во мај 2019 година, дури и Мајкрософт конечно го отстрани барањето за периодични промени на лозинката од основното ниво на безбедносни барања за личните и серверските верзии на Windows 10: тука официјална изјава за блог со список на промени на верзијата Windows 10 v 1903 (забележете ја фразата Откажување на политиките за истекување на лозинката кои бараат периодични промени на лозинката). Самите правила и системските политики Windows 10 верзија 1903 и Windows Server 2019 основна линија за безбедност вклучени во комплетот Microsoft Security Compliance Toolkit 1.0.

Можете да ги покажете овие документи на вашите претпоставени и да кажете: времињата се сменија. Задолжителните промени на лозинката се архаични, сега речиси официјални. Дури и безбедносната ревизија повеќе нема да го проверува ова барање (ако се заснова на официјалните правила за основна заштита на компјутерите со Windows).


Фрагмент од список со основни безбедносни политики за Windows 10 v1809 и промени во 1903 година, каде што соодветните политики за истекување на лозинката повеќе не важат. Патем, во новата верзија, сметките на администраторот и гостите исто така се стандардно откажани

Мајкрософт славно објаснува во блог пост зошто го напушти правилото за задолжителна промена на лозинката: „Периодичното истекување на лозинката штити само од можноста лозинката (или хашот) да биде украдена за време на нејзиниот живот и да се користи од неовластено лице. Ако лозинката не е украдена, нема смисла да се менува. И ако имате докази дека лозинката е украдена, очигледно ќе сакате да дејствувате веднаш наместо да чекате да истече за да го решите проблемот“.

Мајкрософт продолжува објаснувајќи дека во денешното опкружување не е соодветно да се заштити од кражба на лозинка користејќи го овој метод: „Ако се знае дека лозинката најверојатно ќе биде украдена, колку дена е прифатлив временски период за да му се дозволи на крадецот да ја користам таа украдена лозинка? Стандардната вредност е 42 дена. Зарем тоа не изгледа како смешно долго време? Навистина, ова е многу долго време, а сепак нашата сегашна основна линија беше поставена на 60 дена - а претходно на 90 дена - бидејќи принудувањето чести истекувања воведува свои проблеми. И ако лозинката не е нужно украдена, тогаш ги добивате овие проблеми без никаква корист. Освен тоа, ако вашите корисници се подготвени да заменат лозинка за бонбони, ниту една политика за истекување на лозинката нема да помогне“.

Алтернатива

Мајкрософт пишува дека неговите основни безбедносни политики се наменети за употреба од добро управувани бизниси кои се свесни за безбедноста. Тие исто така имаат за цел да обезбедат насоки за ревизорите. Ако таква организација има имплементирано забранети списоци со лозинки, автентикација со повеќе фактори, откривање напад со брутална сила со лозинка и откривање на аномални обиди за најавување, дали е потребно периодично истекување на лозинката? И ако не имплементирале современи безбедносни мерки, дали ќе им помогне истекувањето на лозинката?

Логиката на Мајкрософт е изненадувачки убедлива. Имаме две опции:

1. Компанијата има имплементирано современи безбедносни мерки.
2. компанијата Нема воведе современи безбедносни мерки.

Во првиот случај, периодичното менување на лозинката не дава дополнителни придобивки.

Во вториот случај, периодично менување на лозинката е бескорисно.

Така, наместо датумот на истекување на лозинката, прво треба да користите повеќефакторска автентикација. Дополнителни безбедносни мерки се наведени погоре: списоци со забранети лозинки, откривање на брутална сила и други аномални обиди за најавување.

«Периодичното истекување на лозинката е древна и застарена безбедносна мерка", заклучува Microsoft, "и ние не веруваме дека има некоја специфична вредност што вреди да се примени на нашето основно ниво на заштита. Со отстранување од нашата основна линија, организациите можат да изберат што најдобро одговара на нивните перципирани потреби без да се спротивставуваат на нашите препораки“.

Излез

Ако една компанија денес ги принудува корисниците периодично да ги менуваат своите лозинки, што може да мисли надворешниот набљудувач?

1. Со оглед: компанијата користи архаичен одбранбен механизам.
2. Претпоставка: компанијата нема имплементирано современи заштитни механизми.
3. Заклучок: овие лозинки полесно се добиваат и користат.

Излегува дека периодичното менување на лозинките ја прави компанијата поатрактивна цел за напади.

Извор: www.habr.com