Baru saja menerima email dari pemasok yang memberi tahu kami bahwa mereka akan memaksa kami untuk mengubah kata sandi kami setiap enam bulan, saya ingin tahu kebijakan kadaluwarsa kata sandi apa yang digunakan orang dan mengapa mereka menggunakannya.
Jawaban:
Ada garis tipis di sini antara tidak pernah mengubahnya dan terlalu sering mengubahnya. Memiliki kata sandi yang sama selama bertahun-tahun seringkali bukan solusi yang baik, terutama jika tersedia untuk umum. Tetapi memaksakan kebijakan kaku untuk mengubahnya terlalu sering juga memiliki efek samping yang buruk. Satu tempat saya bekerja, memaksa semua pengguna di jaringan internal untuk mengubah kata sandi setiap minggu ke-6 dan passowrd tidak bisa sama dengan enam kata sandi sebelumnya. Tiga kata sandi yang salah mengunci workstation, dan staf TI harus membukanya. Yang mengakibatkan semua orang menulis kata sandi pada Post-It notes tergantung di layar atau ditempatkan di laci mereka. Mimpi buruk.
Saya katakan mengganti kata sandi setiap 6 bulan sekali sudah cukup. Ini akan menghindari catatan Post-It yang ditakuti itu.
Saya akan menyarankan menggunakan sedikit matematika yang memperhitungkan kompleksitas kata sandi minimum Anda, seberapa cepat penyerang dapat menebak kata sandi, jumlah akun yang tidak terkunci yang Anda miliki, dan beberapa informasi informasi tentang risiko Anda.
Semoga Anda memiliki semacam pembatasan tingkat untuk menebak kata sandi. Biasanya itu akan melalui sesuatu yang sementara mengunci akun setelah beberapa kata sandi yang buruk.
Dan semoga Anda memiliki semacam persyaratan kompleksitas kata sandi sehingga "A" dan "kata sandi" tidak diizinkan.
Mari kita asumsikan bahwa setelah 30 kali gagal kata sandi dalam 10 menit, Anda akan mengunci akun selama 20 menit. Itu secara efektif membatasi tingkat perkiraan kata sandi menjadi 174 per jam, atau 4.176 per hari. Tapi mari kita asumsikan itu per pengguna.
Mari kita asumsikan Anda membutuhkan 8+ kata sandi karakter yang berisi huruf atas, bawah, dan angka, dan Anda melakukan beberapa pemeriksaan kamus untuk memastikan bahwa kata sandi tersebut cukup acak. Kasus terburuk, semua pengguna meletakkan satu angka atas, dan satu angka di tempat yang sama dan penyerang Anda mengetahuinya, jadi Anda punya 10 * 26 ^ 7 (80G) kata sandi yang memungkinkan. Kasing terbaik adalah 62 ^ 8 (218T).
Jadi, seorang penyerang mencoba setiap kata sandi yang mungkin akan mengenai mereka semua dalam 50.000 tahun dalam kasus terburuk, dan hampir 600 juta milenia dalam kasus terbaik. Atau, dengan kata lain, mengingat satu tahun mereka akan memiliki antara 1 dalam 50.000 dan 1 dalam 52.000.000.000 tebakan. Jika Anda memiliki basis pengguna 50.000, hampir dijamin bahwa dalam kasus terburuk mereka akan masuk ke satu akun per tahun dan memiliki peluang 50% untuk mendapatkan satu akun setiap 6 bulan.
Dan jika Anda tidak memiliki batasan tingkat dan penyerang bisa menebak satu miliar kata sandi sehari? Kemungkinan satu dari 600 masuk ke akun dalam setahun, atau jaminan virtual untuk mendapatkan sekitar 80 dari 50.000 pengguna Anda setiap tahun.
Kerjakan matematika itu, dan cari tahu di mana tingkat risiko Anda dapat diterima. Dan ingat bahwa semakin pendek Anda mengaturnya, semakin sulit bagi pengguna untuk mengingat dan semakin besar kemungkinan mereka akan menuliskannya di tempat yang nyaman bagi penyerang di tempat.
Sebagai bonus tambahan: jika seseorang mencoba ribuan kata sandi per pengguna per hari terhadap sistem Anda, saya sangat berharap Anda memiliki semacam pemantauan yang akan mengambilnya.
EDIT: Lupa menyebutkan: kebijakan kami yang sebenarnya adalah 90 hari, tetapi itu ada hubungannya dengan temuan oleh auditor keamanan yang salah arah dan tidak ada hubungannya dengan kenyataan.
90 hari tampaknya cukup untuk sebagian besar skenario. Kekhawatiran terbesar saya adalah kompleksitas kata sandi. Lebih dari masalah kerangka waktu dalam menghasilkan catatan post-it adalah kompleksitas yang dipaksakan. Adalah satu hal untuk menghindari kata-kata kamus dan yang lain memiliki karakter khusus, tetapi ketika Anda mulai mengatakan bahwa tidak ada karakter yang dapat diulang atau berada dalam urutan naik / turun, Anda telah membuat pengguna Anda hidup sulit. Tambahkan itu ke kehidupan kata sandi yang singkat dan Anda baru saja disambut dalam lebih banyak masalah.
Kedaluwarsa kata sandi mengganggu dan mengurangi keamanan.
Kedaluwarsa kata sandi membela terhadap situasi di mana penyerang telah mengkompromikan kata sandi pengguna sekali saja, tetapi tidak memiliki mekanisme untuk mencari tahu apa itu secara berkelanjutan (misalnya keylogger)
Namun, itu juga membuat lebih sulit untuk mengingat kata sandi, membuatnya lebih mungkin bahwa pengguna akan menuliskannya.
Karena membela terhadap kata sandi yang sudah dikompromikan tidak benar-benar diperlukan (Anda harap), saya menganggap kedaluwarsa kata sandi tidak berguna.
Dapatkan pengguna untuk memilih kata sandi yang kuat untuk memulai; dorong mereka untuk mengingatnya, maka jangan minta mereka mengubahnya, atau mereka akan menuliskannya di mana-mana.
Jika Anda memiliki perangkat yang membutuhkan jaminan keamanan "tinggi ke sangat tinggi", Anda lebih baik menggunakan token perangkat keras yang menghasilkan kata sandi satu kali daripada mengandalkan masa kedaluwarsa kata sandi.
"Menang" utama untuk sistem kedaluwarsa kata sandi adalah bahwa Anda AKAN, pada akhirnya, akan menonaktifkan akun jika pemegang akun meninggalkan organisasi, sebagai "cek dan saldo" tambahan ke "akun harus dinonaktifkan ketika pemegang akun Daun-daun".
Menegakkan prospek kedaluwarsa kata sandi, paling-paling, untuk kata sandi berkualitas tinggi yang ditulis dan dalam kasus terburuk menjadi kata sandi buruk (di tempat kerja sebelumnya, setelah kami dipaksa untuk menggunakan kata sandi kedaluwarsa, saya akhirnya menggunakan (pada dasarnya) awalanJan2003, prefixFeb2003 dan sebagainya aktif, karena metode pilihan saya untuk membuat kata sandi (48 bit acak, yang disandikan Base64) tidak menskala ke "kata sandi baru setiap bulan").
Saya pikir jika Anda bertanya kepada 10 profesional keamanan yang berbeda pertanyaan ini - Anda akan mendapatkan 10 jawaban berbeda.
Ini sangat tergantung pada seberapa kritis aset yang dilindungi kata sandi.
Jika Anda memiliki aset yang sangat aman, Anda harus menetapkan kebijakan kedaluwarsa kata sandi Anda cukup singkat sehingga setiap penyusup luar tidak akan punya waktu untuk secara paksa memaksa kata sandi. Variabel lain dalam situasi ini adalah tingkat kompleksitas apa yang diperlukan pada kata sandi.
Untuk sistem keamanan rendah hingga menengah, saya pikir kebijakan kedaluwarsa 6 bulan sangat adil.
Untuk keamanan tingkat tinggi, saya pikir sebulan akan lebih baik - dan untuk instalasi yang 'sangat aman', periode waktu yang lebih pendek pun diharapkan.
Kami menerapkan kata sandi 90 hari yang kedaluwarsa pada semua orang di sini, (termasuk kami.)
Sebagian besar karena itu hanya praktik terbaik. Peluang seseorang menggunakan kata sandi "lemah", vs. kata sandi yang lebih kuat lebih besar dan semakin lama Anda membiarkannya, hal yang sama akan mengakibatkan pelanggaran keamanan jangka panjang yang tidak terdeteksi.
Kami kedaluwarsa kata sandi setiap tahun dan membutuhkan kata sandi yang kuat (lebih disukai acak) lebih dari 10 karakter. Kami menjalankan serangan kamus pada kata sandi orang ketika mereka mengubahnya. Kami menyimpan hash kata sandi masa lalu sehingga kata sandi tidak dapat digunakan kembali. Kami juga memeriksa kemungkinan tanggal di kata sandi seperti kata vatine. ;) Yang terakhir adalah tambahan saya ...
Di pekerjaan sebelumnya, kami mencoba kedaluwarsa lebih sering atas perintah administrator keamanan jaringan baru - setiap dua bulan. Dua minggu setelah perubahan paksa pertama, saya membawanya ke kantor administrasi kami dan kami mencari di bawah keyboard dan mousepad orang. Lebih dari 50% dari mereka memiliki kata sandi yang ditulis pada post-it di bawahnya. Dia senang melonggarkan kebijakan setelah kami duduk dan berbicara dengan staf administrasi - pendapat mereka adalah bahwa mereka tidak cukup lama untuk menghafal.
Sebagian besar barang kami hari ini adalah sistem masuk tunggal dalam beberapa silo. Sumber daya kampus (jarang digunakan untuk kebanyakan orang) berada dalam satu silo dan kata sandi tersebut dikelola oleh kelompok IT pusat kami. Sumber daya departemen (digunakan harian - masuk mesin, email, mengedit situs web, mesin fotokopi) adalah kata sandi yang dikelola oleh kelompok kami, juga kedaluwarsa setiap tahun. Jika orang mengeluh frustrasi, kami menunjukkan bahwa mereka hanya memiliki satu kata sandi untuk diingat.
Hari ini, saya membuat md5sum pada file acak di / var / log dan menggunakan subset untuk kata sandi saya.
Kami telah banyak berdiskusi tentang hal ini beberapa tahun yang lalu ketika kami memulai kebijakan kedaluwarsa kata sandi. Kami baru saja selesai menjalankan lcphract dengan tabel pelangi pada pohon AD untuk melihat seberapa buruk itu, dan itu cukup mengerikan. Sejumlah besar pengguna yang masih menggunakan kata sandi "helpdesk temp" mereka setelah memanggil / mampir untuk mengatur ulang kata sandi, sesuatu yang mengerikan seperti 30% menggunakan "kata sandi" atau beberapa varian sebagai kata sandi mereka (p @ $$ w0rd, dll) . Itu meyakinkan manajemen bahwa ini perlu terjadi.
Menjadi lebih tinggi, kami memiliki musim panas untuk bersaing ketika memilih interval. Banyak staf pengajar kami tidak mengajar selama musim panas, sehingga meja bantuan kami harus bersiap untuk panggilan, "Saya lupa kata sandi saya" karena semuanya kembali pada bulan September. Saya pikir, dan saya mungkin salah, bahwa interval kami adalah 6 bulan dengan pengecualian kuartal musim panas. Jadi, jika kata sandi 6mo Anda kedaluwarsa pada pertengahan Agustus, akan diprogram ulang secara acak untuk mengatur ulang pada akhir September hingga awal Oktober.
Pertanyaan yang lebih baik adalah seberapa sering akun utilitas dan kata sandi admin Anda diputar. Terlalu sering mereka yang tampaknya dibebaskan dari kebijakan perubahan kata sandi. Siapa yang ingin membaca semua skrip untuk perubahan kata sandi akun utilitas? Dan beberapa sistem cadangan membuat sulit untuk mengubah kata sandi yang digunakan, yang memberikan disinsentif untuk mengubah kata sandi admin.
Satu masalah utama dengan kata sandi yang sering kadaluwarsa adalah orang-orang akan kesulitan mengingatnya, jadi Anda akan meminta orang menggunakan kata sandi yang lemah atau serupa, atau jika kebijakan Anda tidak mengizinkannya, mereka akan mulai menuliskan kata sandi untuk membantu mengingatnya . Anda juga akan memiliki lebih banyak permintaan perubahan kata sandi, ketika orang-orang melupakannya.
Secara pribadi, itu tergantung pada apa kata sandi digunakan, tapi saya cenderung tidak menyimpan kata sandi lebih dari 3 bulan, kecuali itu akun pembuangan yang lengkap. Untuk hal-hal yang berisiko lebih tinggi, setiap bulan adalah baik, dan dengan pasti ubahlah jika orang lain yang mengetahuinya pergi. Karena saya bekerja di bisnis pendukung komputer kecil, kami memiliki beberapa kata sandi yang dibagikan di antara banyak orang, jadi kami tidak ingin mengubahnya terlalu sering, karena gangguan yang diakibatkannya.
Komentar yang menarik sejauh ini. Tentu saja mengapa selalu diperdebatkan bahwa mengingat kata sandi adalah masalah teknis versus non-teknis di perusahaan? Apa yang berhubungan dengan kemampuan seseorang dengan perangkat keras / perangkat lunak komputer dengan kemampuan mereka untuk menjaga keamanan dengan serius? Akankah orang non-teknis memberikan Kartu Kredit atau Pin Debit # mereka? Selain itu, orang yang menempatkan kata sandi pada catatan tempel di meja mereka harus menjadi alasan pemberhentian. Sungguh menakjubkan bagaimana daya ingat orang akan meningkat ketika mereka benar-benar menyadari keamanan itu penting dan harus ditanggapi dengan serius. Saya melihatnya tidak berbeda dengan peran aturan berpakaian dan melakukan kebijakan di tempat kerja. Ikuti aturan atau selamat tinggal!
Saya pikir memiliki kata sandi yang lebih aman jauh lebih penting daripada sering mengubahnya, tetapi keduanya jelas diperlukan untuk sistem yang aman.
Argumennya adalah bahwa kata sandi yang rumit sulit untuk diingat, dan menyebabkan karyawan menuliskannya. Keyakinan saya akan hal ini adalah bahwa sebagian besar serangan berasal dari luar , dan bahkan menuliskan kata sandi yang rumit dan menempelkannya ke monitor Anda lebih aman daripada menghafal kata sandi sederhana.
Saya menerapkan pad satu kali dan otentikasi berbasis token waktu, jadi, secara teori, setiap kali pengguna masuk.
Meskipun ini bisa dibilang off-topic, pad satu kali tampaknya menjadi solusi yang unggul.
Demikian pula, dan yang lebih mendasar, memastikan bahwa pengguna membuat kata sandi yang kuat, dan memahami etika di balik kebijakan keamanan Anda (jangan menuliskannya, jangan menjadikannya hari ulang tahun Anda, jangan berikan kepada siapa pun) akan banyak membantu lebih jauh dari sekadar memaksa mereka untuk mengubahnya setiap interval berbasis waktu ke-n.