Многи ИТ системи имају обавезно правило периодичне промене лозинки. Ово је можда најомраженији и најбескориснији захтев безбедносних система. Неки корисници једноставно промене број на крају као лајф хак.

Ова пракса је изазвала много непријатности. Међутим, људи су морали да издрже, јер ово ради безбедности. Сада је овај савет потпуно небитан. У мају 2019. чак је и Мицрософт коначно уклонио захтев за периодичне промене лозинке са основног нивоа безбедносних захтева за личне и серверске верзије Виндовс 10: овде званична изјава на блогу са листом промена у верзији Виндовс 10 в 1903 (обратите пажњу на фразу Одбацивање смерница истека лозинке које захтевају периодичне промене лозинке). Сама правила и системске политике Виндовс 10 верзија 1903 и Виндовс Сервер 2019 безбедносна основа укључено у комплет Мицрософт Сецурити Цомплианце Тоолкит 1.0.

Ова документа можете показати својим претпостављенима и рећи: времена су се променила. Обавезне промене лозинке су архаичне, сада готово званичне. Чак ни безбедносна ревизија више неће проверавати овај захтев (ако је заснован на званичним правилима за основну заштиту Виндовс рачунара).


Фрагмент листе са основним безбедносним смерницама за Виндовс 10 в1809 и променама из 1903. године, где се више не примењују одговарајуће смернице истека лозинке. Иначе, у новој верзији, администраторски и гостујући налози су такође подразумевано отказани

Мајкрософт у свом блог посту чувено објашњава зашто је напустио правило обавезне промене лозинке: „Периодично истицање лозинке само штити од могућности да лозинка (или хеш) буде украдена током њеног животног века и да је користи неовлашћена особа. Ако лозинка није украдена, нема смисла да је мењате. А ако имате доказ да је лозинка украдена, очигледно ћете желети да реагујете одмах уместо да чекате да истекне да бисте решили проблем."

Мицрософт даље објашњава да у данашњем окружењу није прикладно заштитити се од крађе лозинке овим методом: „Ако се зна да ће лозинка вероватно бити украдена, колико дана је прихватљив временски период да се лоповима дозволи да користити ту украдену лозинку? Подразумевана вредност је 42 дана. Зар то не изгледа као смешно дуго? Заиста, ово је веома дуго време, а ипак је наша тренутна основа била постављена на 60 дана - а раније на 90 дана - јер форсирање честих истека уводи своје проблеме. А ако лозинка није нужно украдена, онда добијате ове проблеме без икакве користи. Осим тога, ако су ваши корисници вољни да мењају лозинку за слаткише, никаква политика истека лозинке неће помоћи.”

Альтернатива

Мицрософт пише да су његове основне безбедносне политике намењене за добро вођена предузећа која су свесна безбедности. Они су такође намењени да пруже смернице ревизорима. Ако је таква организација имплементирала листе забрањених лозинки, вишефакторску аутентификацију, откривање напада грубом силом лозинком и откривање аномалног покушаја пријављивања, да ли је потребно периодично истицање лозинке? А ако нису применили савремене мере безбедности, да ли ће им истек лозинке помоћи?

Мајкрософтова логика је изненађујуће убедљива. Имамо две опције:

1. Компанија је применила савремене мере безбедности.
2. компанија не је увела савремене мере безбедности.

У првом случају, периодична промена лозинке не пружа додатне погодности.

У другом случају, периодична промена лозинке је бескорисна.

Дакле, уместо датума истека лозинке, треба да користите, пре свега, вишефакторска аутентификација. Додатне сигурносне мере су наведене изнад: листе забрањених лозинки, откривање грубе силе и други аномални покушаји пријављивања.

«Периодично истицање лозинке је древна и застарела безбедносна мера“, закључује Мицрософт, „и не верујемо да постоји било каква специфична вредност коју вреди применити на наш основни ниво заштите. Уклањањем из наше основе, организације могу да изаберу оно што најбоље одговара њиховим перципираним потребама без сукоба са нашим препорукама.”

Излаз

Ако компанија данас приморава кориснике да повремено мењају своје лозинке, шта би спољни посматрач могао да помисли?

1. Дато: компанија користи архаични одбрамбени механизам.
2. Претпоставка: компанија није имплементирала савремене заштитне механизме.
3. Закључак: ове лозинке је лакше добити и користити.

Испоставило се да периодична промена лозинки чини компанију привлачнијом метом за нападе.

Извор: ввв.хабр.цом