定期的に変更するパスワードポリシーにセキュリティ上の利点はありますか？
私はいくつかのケースで発見しましたが、ユーザーに定期的にパスワードを変更するように強制することは、セキュリティの助けというよりも、メンテナンスの負担になります。また、ユーザーが新しいパスワードを書き留めるのを見てきました。ユーザーは自分のパスワードを覚えるのに十分な時間が取れず、別のパスワードを再学習することに煩わされないからです。
パスワードを強制的に変更することにはどのようなセキュリティ上の利点がありますか？
以下は、SANS日記とは異なる見方です。
パスワード規則：25年ごとに変更
1つの実用的な利点があります。誰かがあなたのパスワードを持っている場合、彼らが望んでいるのはあなたの電子メールを読んで検出されないままにすることだけですが、最終的にサインインシークレットを変更しない限り、彼らは永遠にそれを行うことができます。 このように、定期的にパスワードを変更しても、誰かが侵入して商品でそれを作ることにはあまり役立ちませんが、アクセスしているストーカーやスヌーパーを振り払う機会はありますはい、これは良いことです。しかし、このメリットだけでも、ユーザーに90日ごとにパスワードの変更を強制することの手間と不利な点に値するのかどうか、私には疑問があります。
推測したときにパスワードを強制的に変更します（すべてのユーザーに対して常にパスワード推測プログラムを実行します）。
「なぜ？」と答えたとき、「パスワードを変更する必要がある」と主張するのは難しい。 「ブラインドを推測できたから」です。推測しにくいパスワードを選択したユーザーに自動的に報酬を与え、どのパスワードが弱いかをユーザーに教えます。 「password1」を選択すると、一度ログインする前に有効期限が切れます。ユーザーが16文字のランダムな大文字と小文字が混在する英数字のパスワードを選択した場合、決してそれを推測することはできません。非常に長い間保管しておけば、記憶することもできます。
それはトレードオフです。頻繁なパスワードの変更を要求すると、パスワードの品質が低下します。この影響についての研究も行われています。
とはいえ、ユーザーがパスワードを共有できないようにするための唯一の信頼できる方法は、定期的なパスワードの変更を要求することです。私の経験では、90日間は、ユーザビリティとセキュリティの適切な妥協のように思われます。長くすると、人々は共有パスワードに依存し始めます-より早く、あなたは「November09」、「December09」で終わります。
パスワードの変更を強制することについて最悪のことは、実際に人々にパスワードを変更させることではありません。通常、ほとんどまたはまったく警告が表示されず、すぐに対処する必要がある問題にすぐに直面するため、誰かに適切なパスワードを考える時間を与えるのではなく、安全性の低いものである可能性が高くなります覚えやすいか、より安全ですが、書き留められるだけなので、セキュリティ上の利点はありません。
パスワードが簡単に推測できないほど複雑で、システム間で共有されておらず、侵害されている可能性が低い場合、パスワードの変更はそれほど重要ではない可能性があります。
ただし、これらのいずれかが発生し、最初の2つがおそらくより一般的である場合、定期的にパスワードを変更するように強制することは、少なくともパスワードを共有する可能性が低くなることを意味します。
そうは言っても、適切なパスワードの意味と、それらを共有することが非常に悪い理由についてユーザーに説明することを選択します。それらを書き留めることは、あなたが何をしても一般的です。
よく知らない本からの引用を覚えたり、フレーズを作成したりして、知っている本からパスワードを選択することをお勧めします。各Wordの最初の文字を使用し、そこのどこかに2つの数字を追加します。ほとんどの人は、数回入力した後でそれを覚えています。
その実践には何のメリットもありません。
強力なパスワードははるかに重要です。強いとは、9 +英数字+特殊記号、または15+ [a-z]のみの非辞書パスワード/フレーズのいずれかを意味します（これは、AmazonのEC2を使用したパスワードの総当たり攻撃のコストに関する最近の調査に基づいています）。
リモートアクセスされるシステムでは、公開されているすべてのサービスにブルートフォース検出および防止ソフトウェア（fail2banなど）が必要です。これは、通常のパスワード変更ポリシーよりもはるかに重要です（IMO）。
基本的な問題は、セキュリティメカニズムとしてのパスワードが悪臭を放つということです。
あなたがそれらを頻繁に変更するように人々に頼むならば、彼らはそれらを書き留めます。少なくとも3つの数字、4つの大文字、1つの制御文字を含む30文字のパスワードを使用するように依頼すると、パスワードを忘れたり、書き留めたり、他のばかげたことをしたりします。シンプルな場合、ユーザーはbunny7やBunny7のような愚かなパスワードを使用します。また、ポルノアカウントやhotmailアカウントなど、すべてに同じ不正なパスワードを使用します。
私は Mobile OTP のようなツールが好きです。これにより、ユーザーは携帯電話を2要素認証ツールとして使用できます。
長期的には、暗号化された証明書をユーザー識別メカニズムとして使用する世界に何らかの形で到達する可能性があります。 OpenID および [〜＃〜] cas [〜＃〜] のようなものは、ユーザー認証を簡素化し、便利なシングルサインオンを可能にします。
長期的には、ユーザーが資格情報を発行する必要がある回数を減らすことをお勧めします。「HR」パスワード、「タイムシート」パスワード、および「CRM」パスワードを削除します。それらを、ユーザーが一度資格情報を発行する必要がある共通の認証インフラストラクチャに統合します。次に、MobileOTPまたは RSA SecurID のようなものを使用してもらい、2要素認証を使用します。
短期的には、パスワードポリシーは宗教戦争の話題になるでしょう。上司が求めていることをすべて実行し、上司である場合は、ユーザーベースと予想されるセキュリティプロファイルに基づいて判断してください。
幸運を！
このやり方は、完全に役に立たないわけではありませんが、はるか昔にはるかに重要でした。このポリシーの議論は、より深刻な現在の脅威から注意をそらすため、実際には逆効果です。
検討してください：
Windows/ADを使用していて、アカウントの[アカウントは機密情報であり、委任できない]チェックボックスがオンになっていない場合、そのアカウントは偽装を介して使用でき、パスワードは不要です。これを行うコードは簡単です。
個人のWindowsワークステーションがセキュリティの脆弱性により侵害された場合、メモリ内のWindowsセキュリティトークンを使用して他のコンピュータにアクセスできます。この場合も、パスワードは必要ありません。
ちなみに、その2つ目は、日常の通常のユーザーアカウントとは異なるアカウントを使用してのみサーバーにアクセスする必要がある理由です。また、どちらのシナリオも、最も堅牢な2要素認証メカニズムであっても完全に無効になることに注意してください。
パスワードのセキュリティに関して起こり得る最良のことは、パスワードの議論をやめ、より現代的で深刻な脅威に焦点を当てることです。
詳しくは：
ルーク・ジェニングスのプレゼンテーション「すべてを統治する1つのトークン」をご覧ください。
http://eusecwest.com/esw08/esw08-jennings.pdf
Insomnia Shell-ASP.Netサーバー上のトークンを危険にさらすために必要なコードの例：
http://www.insomniasec.com/releases/tools
方法：ASP.NET 2.0でプロトコル遷移と制約付き委任を使用する
http://msdn.Microsoft.com/en-us/library/ms998355.aspx
「パスワードなし」を検索します。
パスワードが変わらなくなるほど、パスワードが危険にさらされる可能性が高くなります。これは、パスワードが危険にさらされる状況が発生する可能性が高まるためです（無限の時間が可能であれば）。また、ユーザーが古いものに慣れるようになるため、将来の変更が難しくなります。さらなるリスクは、セキュリティが侵害され、ユーザーがその事実に気付いていない場合、ユーザーアカウントの重大な悪用が継続的に発生する可能性があることです。定期的な変更は、少なくとも次に実施されるパスワード変更により、侵害されたパスワードが役に立たなくなることを少なくとも軽減します。
私の経験では、ユーザーがパスワードを書き留める可能性が最も高いシナリオは、独自のユーザー名とパスワードの組み合わせを必要とする複数の異なるシステムを持っているなど、セキュリティインフラストラクチャでの共同考えの欠如です。それらの5つをユーザーに投げると、復讐心を込めて黄色の付箋紙症候群が発生します。
ユーザーが覚えやすいが解読が難しいパスワードをユーザーが選択できるようにする妥当なパスワードポリシーは、優れたユーザー教育、強固な統合認証、まともなロックアウトおよび有効期限ポリシーと相まって、すべてパスワードの共有を明示的に禁止するAUPによってバックアップされています。最良の方法。
私はパスワードの変更を決して要求しないという野営地にいます。または、記事が言うように-25年ごとに-そうです、そのとき私は死んでしまいます。良い。これが理由です...私は自分の仕事で覚えておくべき12のパスワードを持っています。それらのほとんどは変化し、変化するものは完全に異なるスケジュールにあります。彼らはすべて異なる強度要件があります。弱い人間はこれにどのように対処できますか？私が見たいくつかの方法：ホワイトボードに書きます。それらを紙に書いて、ロックされていない引き出しに保管します。または私の好きな方法：かなり安全でないgoogleドキュメントスプレッドシートに保存します。これらの方法（非常に一般的）のいずれも、変更を要求することによって得られる小さなセキュリティ上の利点を完全に相殺するものではないことを私に納得させる方法はありません。
ITサポートで誰かが自分のアカウントのロックを解除するのを待っているので、この投稿を書く時間があります。どうやら前回はスプレッドシートを適切に更新しなかったようです。このナンセンスに失われたBILLION $$$を計算する研究はありますか？
資格情報をキャッシュしている場合（ほとんどの人はこれを可用性のために行います）、これは必須です。コンピューターが物理的に盗まれて資格情報のキャッシュが有効になっている場合、泥棒は、アカウントロックアウトポリシーがアクティブになるのを恐れることなく、マシンをネットワークから強制的に切り離すことができます。次に、ネットワークリソースへの有効な資格情報を持ちます。これらのパスワードを定期的に変更することで、この被害を最小限に抑えることができます。
これが、特権アカウントでログインすることのない正確な理由です。常に制限付きユーザーとしてログインし、個々のプロンプトを昇格させます。これにより、盗難/侵入の際に特権資格情報がブルートフォースされるのを防ぎます。