Ko'pgina IT tizimlarida parollarni vaqti-vaqti bilan o'zgartirishning majburiy qoidasi mavjud. Bu, ehtimol, xavfsizlik tizimlarining eng nafratlanadigan va eng foydasiz talabidir. Ba'zi foydalanuvchilar shunchaki oxirgi raqamni hayotni buzish sifatida o'zgartiradilar.

Ushbu amaliyot juda ko'p noqulayliklarni keltirib chiqardi. Biroq, odamlar chidashlari kerak edi, chunki bu xavfsizlik uchun. Endi bu maslahat mutlaqo ahamiyatsiz. 2019 yil may oyida hatto Microsoft Windows 10 ning shaxsiy va server versiyalari uchun xavfsizlik talablarining asosiy darajasidan parolni davriy oʻzgartirish talabini nihoyat olib tashladi: bu yerda rasmiy blog bayonoti Windows 10 v 1903 versiyasiga kiritilgan o'zgarishlar ro'yxati bilan (iboraga e'tibor bering Parolni vaqti-vaqti bilan o'zgartirishni talab qiladigan parolning amal qilish muddatini o'chirish qoidalarini bekor qilish). Qoidalarning o'zi va tizim siyosati Windows 10 1903 versiyasi va Windows Server 2019 xavfsizlik bazasi to'plamga kiritilgan Microsoft Security Compliance Toolkit 1.0.

Siz bu hujjatlarni boshliqlarga ko'rsatishingiz va aytishingiz mumkin: vaqt o'zgardi. Majburiy parol o'zgarishlari arxaik, endi deyarli rasmiy. Hatto xavfsizlik auditi ham bu talabni tekshirmaydi (agar u Windows kompyuterlarini asosiy himoya qilishning rasmiy qoidalariga asoslangan bo'lsa).


Windows 10 v1809 uchun asosiy xavfsizlik siyosatlari va 1903-yildagi o'zgarishlar ro'yxatining bir qismi, bu erda tegishli parolning amal qilish muddati endi qo'llanilmaydi. Aytgancha, yangi versiyada administrator va mehmon hisoblari ham sukut bo'yicha bekor qilinadi

Microsoft o'zining blog postida nima uchun parolni majburiy o'zgartirish qoidasidan voz kechganini mashhur tarzda tushuntiradi: “Parolning davriy amal qilish muddati faqat parol (yoki xesh) uning amal qilish muddati davomida o'g'irlanishi va ruxsatsiz shaxs tomonidan ishlatilishi ehtimolidan himoya qiladi. Agar parol o'g'irlanmagan bo'lsa, uni o'zgartirishning ma'nosi yo'q. Va agar sizda parol o'g'irlanganligi haqida dalillar mavjud bo'lsa, muammoni hal qilish uchun uning muddati tugashini kutmasdan, darhol harakat qilishni xohlaysiz."

Microsoft bugungi sharoitda ushbu usul yordamida parolni o'g'irlashdan himoyalanish maqsadga muvofiq emasligini tushuntiradi: “Agar parol o'g'irlanishi mumkinligi ma'lum bo'lsa, o'g'riga qancha kun ruxsat berish mumkin. o'g'irlangan paroldan foydalanasizmi? Standart qiymat 42 kun. Bu kulgili uzoq vaqtga o'xshamaydimi? Haqiqatan ham, bu juda uzoq vaqt va shunga qaramay, bizning hozirgi bazamiz 60 kunga belgilangan edi - va ilgari 90 kun - chunki tez-tez tugashni majburlash o'z muammolarini keltirib chiqaradi. Va agar parol o'g'irlanmagan bo'lsa, unda siz bu muammolarni hech qanday foydasiz qo'lga kiritasiz. Bundan tashqari, agar sizning foydalanuvchilaringiz parolni shirinlik uchun almashtirishga tayyor bo'lsa, hech qanday parolning amal qilish muddati yordam bermaydi.

Shu bilan bir qatorda

Microsoft o'zining asosiy xavfsizlik siyosatlari yaxshi boshqariladigan, xavfsizlikka e'tibor qaratadigan korxonalar tomonidan qo'llanilishini yozadi. Ular, shuningdek, auditorlarga yo'l-yo'riq ko'rsatish uchun mo'ljallangan. Agar bunday tashkilot taqiqlangan parollar ro'yxatini, ko'p faktorli autentifikatsiyani, parolni qo'pol kuch hujumini aniqlashni va anormal kirishga urinishlarni aniqlashni amalga oshirgan bo'lsa, davriy parolning amal qilish muddati talab qilinadimi? Va agar ular zamonaviy xavfsizlik choralarini qo'llamagan bo'lsa, parolning amal qilish muddati ularga yordam beradimi?

Microsoft-ning mantig'i hayratlanarli darajada ishonchli. Bizda ikkita variant bor:

1. Korxonada zamonaviy xavfsizlik choralari joriy etilgan.
2. kompaniya yo'q zamonaviy xavfsizlik choralarini joriy etdi.

Birinchi holda, parolni vaqti-vaqti bilan o'zgartirish qo'shimcha imtiyozlarni bermaydi.

Ikkinchi holda, parolni vaqti-vaqti bilan o'zgartirish foydasizdir.

Shunday qilib, parolning amal qilish muddati o'rniga, birinchi navbatda, ko'p faktorli autentifikatsiya. Qo'shimcha xavfsizlik choralari yuqorida sanab o'tilgan: taqiqlangan parollar ro'yxati, shafqatsiz kuchlarni aniqlash va boshqa anormal kirish urinishlari.

«Parolning davriy amal qilish muddati qadimiy va eskirgan xavfsizlik chorasidir", deb xulosa qiladi Microsoft, "va biz asosiy himoya darajamizga qo'llashga arziydigan biron bir o'ziga xos qiymat borligiga ishonmaymiz. Uni bizning bazamizdan olib tashlash orqali tashkilotlar bizning tavsiyalarimizga zid bo'lmagan holda o'zlarining ehtiyojlariga mos keladigan narsani tanlashlari mumkin.

xulosa

Agar kompaniya bugungi kunda foydalanuvchilarni parollarini vaqti-vaqti bilan o'zgartirishga majbur qilsa, tashqi kuzatuvchi qanday fikrda bo'lishi mumkin?

1. May: kompaniya arxaik mudofaa mexanizmidan foydalanadi.
2. Taxmin: kompaniyada zamonaviy himoya mexanizmlari joriy etilmagan.
3. xulosa: bu parollarni olish va ulardan foydalanish osonroq.

Ma'lum bo'lishicha, parollarni vaqti-vaqti bilan o'zgartirish kompaniyani hujumlar uchun yanada jozibador nishonga aylantiradi.

Manba: www.habr.com