बर्‍याच आयटी सिस्टममध्ये वेळोवेळी पासवर्ड बदलण्याचा अनिवार्य नियम असतो. ही कदाचित सुरक्षा प्रणालींची सर्वात घृणास्पद आणि निरुपयोगी आवश्यकता आहे. काही वापरकर्ते लाइफ हॅक म्हणून शेवटी क्रमांक बदलतात.

या प्रथेमुळे अनेकांची गैरसोय झाली. मात्र, लोकांना हे सहन करावे लागले सुरक्षिततेसाठी. आता हा सल्ला पूर्णपणे अप्रासंगिक आहे. मे 2019 मध्ये, मायक्रोसॉफ्टनेही शेवटी Windows 10 च्या वैयक्तिक आणि सर्व्हर आवृत्त्यांसाठी सुरक्षा आवश्यकतांच्या मूलभूत स्तरावरून नियमित पासवर्ड बदलांची आवश्यकता काढून टाकली: येथे अधिकृत ब्लॉग विधान आवृत्ती Windows 10 v 1903 मधील बदलांच्या सूचीसह (वाक्प्रचार लक्षात घ्या पासवर्ड-कालावधी धोरणे वगळणे ज्यासाठी वेळोवेळी पासवर्ड बदलणे आवश्यक आहे). नियम स्वतः आणि सिस्टम धोरणे Windows 10 आवृत्ती 1903 आणि Windows Server 2019 सुरक्षा बेसलाइन किटमध्ये समाविष्ट आहे Microsoft सुरक्षा अनुपालन टूलकिट 1.0.

तुम्ही ही कागदपत्रे तुमच्या वरिष्ठांना दाखवू शकता आणि म्हणू शकता: काळ बदलला आहे. अनिवार्य पासवर्ड बदल पुरातन, आता जवळजवळ अधिकृत आहेत. सुरक्षा ऑडिट देखील यापुढे ही आवश्यकता तपासणार नाही (जर ती Windows संगणकांच्या मूलभूत संरक्षणासाठी अधिकृत नियमांवर आधारित असेल).


Windows 10 v1809 साठी मूलभूत सुरक्षा धोरणांसह सूचीचा एक तुकडा आणि 1903 मध्ये बदल, जेथे संबंधित पासवर्ड कालबाह्यता धोरणे यापुढे लागू होणार नाहीत. तसे, नवीन आवृत्तीमध्ये, प्रशासक आणि अतिथी खाती देखील डीफॉल्टनुसार रद्द केली जातात

मायक्रोसॉफ्टने एका ब्लॉग पोस्टमध्ये स्पष्टपणे स्पष्ट केले आहे की त्याने अनिवार्य पासवर्ड बदलाचा नियम का सोडला: “नियतकालिक पासवर्ड कालबाह्यता केवळ त्याच्या हयातीत पासवर्ड (किंवा हॅश) चोरीला जाईल आणि अनधिकृत व्यक्तीद्वारे वापरला जाईल या शक्यतेपासून संरक्षण करते. पासवर्ड चोरीला गेला नसेल तर तो बदलण्यात काही अर्थ नाही. आणि पासवर्ड चोरीला गेल्याचा पुरावा तुमच्याकडे असल्यास, समस्येचे निराकरण करण्यासाठी तो कालबाह्य होईपर्यंत प्रतीक्षा करण्याऐवजी तुम्ही ताबडतोब कारवाई करू इच्छित असाल."

मायक्रोसॉफ्ट पुढे सांगते की आजच्या वातावरणात ही पद्धत वापरून पासवर्ड चोरीपासून संरक्षण करणे योग्य नाही: “जर पासवर्ड चोरीला जाण्याची शक्यता आहे हे माहीत असेल, तर चोराला परवानगी देण्यासाठी किती दिवसांचा कालावधी आहे. तो चोरलेला पासवर्ड वापरायचा? डीफॉल्ट मूल्य 42 दिवस आहे. तो एक हास्यास्पद लांब वेळ वाटत नाही? खरंच, हा बराच काळ आहे, आणि तरीही आमची सध्याची आधाररेखा ६० दिवसांवर सेट केली गेली होती - आणि पूर्वी ९० दिवसांवर - कारण वारंवार कालबाह्य होण्याने स्वतःच्या समस्यांचा परिचय होतो. आणि जर पासवर्ड चोरीला गेला नसेल, तर तुम्ही कोणत्याही फायद्यासाठी या समस्या मिळवत आहात. याशिवाय, तुमचे वापरकर्ते कँडीसाठी पासवर्ड ट्रेड करण्यास इच्छुक असल्यास, कोणतेही पासवर्ड कालबाह्य धोरण मदत करणार नाही.”

पर्यायी

मायक्रोसॉफ्ट लिहिते की त्याची बेसलाइन सुरक्षा धोरणे चांगल्या प्रकारे व्यवस्थापित, सुरक्षा-जागरूक व्यवसायांद्वारे वापरण्यासाठी आहेत. लेखा परीक्षकांना मार्गदर्शन करण्याचाही त्यांचा हेतू आहे. जर अशा संस्थेने प्रतिबंधित संकेतशब्द सूची, बहु-घटक प्रमाणीकरण, पासवर्ड ब्रूट फोर्स अटॅक डिटेक्शन आणि विसंगत लॉगिन प्रयत्न शोध लागू केला असेल, तर नियतकालिक पासवर्ड कालबाह्य होणे आवश्यक आहे का? आणि जर त्यांनी आधुनिक सुरक्षा उपायांची अंमलबजावणी केली नसेल, तर पासवर्ड कालबाह्यता त्यांना मदत करेल का?

मायक्रोसॉफ्टचे तर्क आश्चर्यकारकपणे पटण्यासारखे आहे. आमच्याकडे दोन पर्याय आहेत:

1. कंपनीने आधुनिक सुरक्षा उपाय लागू केले आहेत.
2. फर्म नाही आधुनिक सुरक्षा उपाय सुरू केले आहेत.

पहिल्या प्रकरणात, वेळोवेळी पासवर्ड बदलल्याने अतिरिक्त फायदे मिळत नाहीत.

दुसऱ्या प्रकरणात, वेळोवेळी पासवर्ड बदलणे निरुपयोगी आहे.

अशाप्रकारे, पासवर्ड कालबाह्यता तारखेऐवजी, तुम्हाला सर्वप्रथम, वापरण्याची आवश्यकता आहे, बहु-घटक प्रमाणीकरण. अतिरिक्त सुरक्षा उपाय वर सूचीबद्ध आहेत: प्रतिबंधित संकेतशब्दांची यादी, ब्रूट फोर्स शोधणे आणि इतर विसंगत लॉगिन प्रयत्न.

«नियतकालिक पासवर्ड कालबाह्य होणे हा एक प्राचीन आणि कालबाह्य सुरक्षा उपाय आहे", Microsoft ने निष्कर्ष काढला, "आणि आमचा विश्वास नाही की आमच्या बेसलाइन संरक्षण स्तरावर लागू करण्यासारखे कोणतेही विशिष्ट मूल्य आहे. आमच्या बेसलाइनमधून ते काढून टाकून, संस्था आमच्या शिफारशींशी विरोधाभास न करता त्यांच्या लक्षात असलेल्या गरजांसाठी सर्वात योग्य काय निवडू शकतात.

निष्कर्ष

जर आज एखादी कंपनी वापरकर्त्यांना वेळोवेळी त्यांचे पासवर्ड बदलण्यास भाग पाडते, तर बाहेरील निरीक्षक काय विचार करू शकतात?

1. दिलेः कंपनी पुरातन संरक्षण यंत्रणा वापरते.
2. गृहीतक: कंपनीने आधुनिक संरक्षणात्मक यंत्रणा लागू केलेली नाही.
3. निष्कर्ष: हे पासवर्ड मिळवणे आणि वापरणे सोपे आहे.

असे दिसून आले की वेळोवेळी बदलणारे संकेतशब्द एखाद्या कंपनीला हल्ल्यांसाठी अधिक आकर्षक लक्ष्य बनवतात.

स्त्रोत: www.habr.com