धेरै IT प्रणालीहरूमा आवधिक रूपमा पासवर्डहरू परिवर्तन गर्ने अनिवार्य नियम छ। यो सायद सुरक्षा प्रणालीहरूको सबैभन्दा घृणित र सबैभन्दा बेकार आवश्यकता हो। केही प्रयोगकर्ताहरूले जीवन ह्याकको रूपमा अन्त्यमा नम्बर परिवर्तन गर्छन्।

यो अभ्यासले धेरै असुविधा ल्यायो। तर, जनताले सहनुपर्‍यो, किनभने यो सुरक्षाको लागि। अब यो सल्लाह पूर्णतया अप्रासंगिक छ। मे 2019 मा, माइक्रोसफ्टले अन्ततः व्यक्तिगत र सर्भर संस्करणहरूको लागि सुरक्षा आवश्यकताहरूको आधारभूत स्तरबाट आवधिक पासवर्ड परिवर्तनहरूको आवश्यकतालाई हटायो Windows 10: यहाँ आधिकारिक ब्लग कथन संस्करणमा परिवर्तनहरूको सूचीको साथ Windows 10 v 1903 (वाक्यांश नोट गर्नुहोस् आवधिक पासवर्ड परिवर्तनहरू आवश्यक पर्ने पासवर्ड-समय समाप्ति नीतिहरू छोड्दै)। नियम आफैं र प्रणाली नीतिहरू Windows 10 संस्करण 1903 र Windows सर्भर 2019 सुरक्षा आधारभूत किटमा समावेश छ माइक्रोसफ्ट सुरक्षा अनुपालन टूलकिट १.०.

तपाईंले यी कागजातहरू आफ्ना वरिष्ठहरूलाई देखाउन सक्नुहुन्छ र भन्न सक्नुहुन्छ: समय परिवर्तन भएको छ। अनिवार्य पासवर्ड परिवर्तनहरू पुरातन छन्, अब लगभग आधिकारिक छन्। सुरक्षा अडिटले पनि अब यो आवश्यकता जाँच गर्दैन (यदि यो Windows कम्प्युटरहरूको आधारभूत सुरक्षाको लागि आधिकारिक नियमहरूमा आधारित छ)।


Windows 10 v1809 को लागि आधारभूत सुरक्षा नीतिहरू र 1903 मा परिवर्तन भएको सूचीको एक टुक्रा, जहाँ सम्बन्धित पासवर्ड म्याद समाप्ति नीतिहरू अब लागू हुँदैनन्। वैसे, नयाँ संस्करणमा, प्रशासक र अतिथि खाताहरू पनि पूर्वनिर्धारित रूपमा रद्द हुन्छन्

माइक्रोसफ्टले एक ब्लग पोष्टमा प्रख्यात रूपमा वर्णन गर्दछ कि यसले अनिवार्य पासवर्ड परिवर्तन नियमलाई किन त्याग्यो: "आवधिक पासवर्डको म्याद समाप्तिले पासवर्ड (वा ह्यास) आफ्नो जीवनकालमा चोरी हुने र अनधिकृत व्यक्तिले प्रयोग गर्ने सम्भावनाबाट मात्र सुरक्षा गर्दछ। यदि पासवर्ड चोरी भएको छैन भने, यसलाई परिवर्तन गर्नुको कुनै अर्थ छैन। र यदि तपाइँसँग पासवर्ड चोरी भएको प्रमाण छ भने, तपाइँ स्पष्ट रूपमा समस्या समाधान गर्न यसको म्याद समाप्त नभएसम्म पर्खनुको सट्टा तुरुन्तै कार्य गर्न चाहानुहुन्छ।"

माइक्रोसफ्टले आजको वातावरणमा यो विधि प्रयोग गरेर पासवर्ड चोरीबाट जोगाउन उपयुक्त छैन भनी व्याख्या गर्छ: “यदि यो थाहा छ कि पासवर्ड चोरी हुने सम्भावना छ भने, चोरलाई अनुमति दिनको लागि स्वीकार्य अवधि कति दिन हो? त्यो चोरी पासवर्ड प्रयोग? पूर्वनिर्धारित मान ४२ दिन हो। के त्यो हास्यास्पद लामो समय जस्तो लाग्दैन? वास्तवमा, यो धेरै लामो समय हो, र अझै पनि हाम्रो वर्तमान आधाररेखा 42 दिनमा सेट गरिएको थियो - र पहिले 60 दिनमा - किनभने बारम्बार म्याद समाप्त गर्न बाध्य पार्नुले आफ्नै समस्याहरू प्रस्तुत गर्दछ। र यदि पासवर्ड आवश्यक रूपमा चोरी भएको छैन भने, तपाइँ कुनै फाइदाको लागि यी समस्याहरू प्राप्त गर्दै हुनुहुन्छ। यसबाहेक, यदि तपाइँका प्रयोगकर्ताहरू क्यान्डीको लागि पासवर्ड ट्रेड गर्न इच्छुक छन् भने, कुनै पासवर्ड म्याद समाप्ति नीतिले मद्दत गर्दैन।"

Альтернатива

माइक्रोसफ्टले लेख्छ कि यसको आधारभूत सुरक्षा नीतिहरू राम्रोसँग व्यवस्थित, सुरक्षा-सचेत व्यवसायहरू द्वारा प्रयोगको लागि हो। तिनीहरूले लेखा परीक्षकहरूलाई मार्गदर्शन प्रदान गर्ने उद्देश्य पनि राखेका छन्। यदि त्यस्तो संस्थाले प्रतिबन्धित पासवर्ड सूचीहरू, बहु-कारक प्रमाणीकरण, पासवर्ड ब्रूट फोर्स आक्रमण पत्ता लगाउने, र असामान्य लगइन प्रयास पत्ता लगाउने कार्यहरू लागू गरेको छ भने, आवधिक पासवर्ड समाप्ति आवश्यक छ? र यदि तिनीहरूले आधुनिक सुरक्षा उपायहरू लागू गरेका छैनन् भने, पासवर्ड म्याद समाप्तिले तिनीहरूलाई मद्दत गर्नेछ?

माइक्रोसफ्टको तर्क आश्चर्यजनक रूपमा विश्वस्त छ। हामीसँग दुई विकल्पहरू छन्:

1. कम्पनीले आधुनिक सुरक्षा उपायहरू लागू गरेको छ।
2. दृढ छैन आधुनिक सुरक्षा उपायहरू प्रस्तुत गरेको छ।

पहिलो अवस्थामा, आवधिक रूपमा पासवर्ड परिवर्तन गर्नाले थप फाइदाहरू प्रदान गर्दैन।

दोस्रो अवस्थामा, आवधिक रूपमा पासवर्ड परिवर्तन बेकार छ।

तसर्थ, पासवर्ड म्याद सकिने मितिको सट्टा, तपाईंले प्रयोग गर्न आवश्यक छ, सबै भन्दा पहिले, बहु-कारक प्रमाणीकरण। अतिरिक्त सुरक्षा उपायहरू माथि सूचीबद्ध छन्: प्रतिबन्धित पासवर्डहरूको सूची, ब्रूट बल पत्ता लगाउने र अन्य असामान्य लगइन प्रयासहरू।

«आवधिक पासवर्ड समाप्ति एक पुरानो र पुरानो सुरक्षा उपाय हो", Microsoft ले निष्कर्ष निकाल्छ, "र हामी विश्वास गर्दैनौं कि हाम्रो आधारभूत सुरक्षा स्तरमा लागू गर्न लायक कुनै विशेष मान छ। यसलाई हाम्रो आधाररेखाबाट हटाएर, संस्थाहरूले हाम्रा सिफारिसहरूसँग बाझिएको बिना तिनीहरूको कथित आवश्यकताहरूको लागि उत्तम उपयुक्त के छनौट गर्न सक्छन्।

निष्कर्षमा

यदि आज कुनै कम्पनीले प्रयोगकर्ताहरूलाई आवधिक रूपमा आफ्नो पासवर्ड परिवर्तन गर्न बाध्य पार्छ भने, बाहिरी पर्यवेक्षकले के सोच्न सक्छ?

1. दिइएको: कम्पनीले पुरातन रक्षा संयन्त्र प्रयोग गर्दछ।
2. अनुमान: कम्पनीले आधुनिक सुरक्षात्मक संयन्त्र लागू गरेको छैन।
3. निष्कर्ष: यी पासवर्डहरू प्राप्त गर्न र प्रयोग गर्न सजिलो छ।

यसले पत्ता लगायो कि आवधिक रूपमा पासवर्ड परिवर्तन गर्नाले कम्पनीलाई आक्रमणको लागि अझ आकर्षक लक्ष्य बनाउँछ।

स्रोत: www.habr.com