Süre Doldu: Neden Parola Geçerlilik Sonu Politikanızı Değiştirmelisiniz?

En iyi uygulamalar, parolanın süresinin dolmasını düzenli aralıklarla uygulamak için politikalar çağrısında bulundu. Zorunlu parola sona erme süreci hakkında her zaman kişisel olarak şüpheciyim, ancak bu uygulama BT kültürüne o kadar derinden dayanıyor ki, bu politikaların kullanılmasına karşı tavsiyede bulunarak bu sorunun üstesinden gelmek istemedim. Her nasılsa, bunu yapmak sorumsuzdu. Ancak, Microsoft son zamanlarda her iki işletim sistemi için güvenlik kurallarını yayımladı , Windows 10 1903 Ve Windows Server 1903. Bu kılavuzda Microsoft, parola kullanım süresi sonu ilkelerini kullanmamanızı önerir. Soru neden.

Bu biraz beklenmedik adımın ardındaki mantığı anlamak için BT'nin ilk günlerini tekrar düşünmeniz gerekir. O zamanlar çalınan kimlik bilgilerinin kullanımını keşfetmek çok zordu. Bu durumda, parola sona erme ilkeleri, birisinin parolayı başarılı bir şekilde çalması durumunda, çalınan parolanın yalnızca sınırlı bir süre için yararlı olmasını sağlamanın bir yolu olarak uygulanmıştır.

Bugünün standartlarına göre bu yaklaşım çok saçma. Birisi bir şifre çalarsa, dakikalar içinde açıklanamayan hasar verebilir. Parolanın birkaç hafta içinde süresi dolana kadar bu kişinin güvenliği ihlal edilmiş hesaptan ücretsiz muhakeme almasına izin vermek gerçekten akıllı mı? tabii ki hayır. Güvenlik ihlalleri gerçek zamanlı olarak ele alınmalıdır.

Güçlendirme değil zayıf güvenlik

Sorunun diğer tarafında, periyodik şifre değişikliklerinin yapılması aslında kuruluşun güvenliğini zayıflatabilir. Yalnızca BT kariyerimin başında çalıştığım bir organizasyonu tekrar düşünebilirim. Düşünebildiğim diğer tüm organizasyonlar gibi, bu şirket de periyodik şifreyi sıfırlamayı istedi. Ancak, her yerde gördüğüm her şeyden tamamen farklı bir şekilde yaptılar. Kullanıcının parolasını girmesini istemek yerine, sistem kullanıcılar için parolalar belirler. Bu şifreler bir boşlukla ayrılmış iki rastgele kelimeden (genellikle bir veya iki hece hecesinden) oluşur. Sistem tarafından oluşturulan bir parola örneği "Church Hotel" olabilir.

Bu şifre modeli hakkında fark edeceğiniz bir şey, basitliğidir. Parola 12 karakter uzunluğunda olmasına rağmen, ikisi de sözlükte olan iki heceden oluşur. Ancak, şifrelerini hatırlamakta zorlanan insanları açıkça hatırlayabiliyorum. Bir keresinde şifreyi sıfırlamak zorunda kaldım çünkü sistemin bana atadığı yeni şifreyi hatırlayamadım.

Şimdi, açıkladığınız basit şifreyi bugün birçok kuruluşun gerektirdiği şeylerle karşılaştırın. Modern şifrenin, tıpkı uzun süreli şifrem gibi 12 karakter uzunluğunda olması nadir değildir. Ancak farklı olan, modern şifrelerin tamamen rastgele harf, sayı, büyük ve küçük harf kombinasyonları olma eğilimindedir. Kullanıcılar basit bir tek heceli kelime çiftini ezberlemekte sorun yaşıyorsa, özellikle karmaşık bir rastgele karakter dizisini ezberlemenin, özellikle kullanıcının şifresi birkaç haftada bir değiştiğinde hayal edin.

Bence, karmaşık ve rastgele şifrelerle ilgili yanlış bir şey yok. Parolalar, bir sözlük saldırısı sırasında saldırıya uğramayacak kadar karmaşık olmalıdır. Bununla birlikte, uzun ve karmaşık parolalar kullanma ve sık sık parola değişikliği gerektirme isteği, yalnızca bir sorunu başlatma isteğidir. Çoğu kullanıcı, geçerli bir parolayı hatırlamakta zorluk çeker ve bu da sürekli parola sıfırlama, hatalı parola alışkanlıkları veya her ikisine yol açar. Somut bir örneğe ihtiyacınız varsa, çalışanlarından birinin yapışkan bir notta yazılı şifresi olan bir bilgisayarın önünde fotoğraflandıktan sonra keskin bir eleştiri alan Hawaii Acil Durum Yönetim Ajansı'ndan başka bir yere bakmayın.

Kişisel olarak gördüğüm pervasız bir parola kullanmanın en cesur örneği, kullanıcının parolasını görüntülemek için Windows 3D Metin ekran koruyucusunu kullandığı bir durumdu. Bunları yaratamazsınız.

Bununla birlikte, şifre değiştirme politikaları son günlerin kalıntısıdır ve saldırganların güvenliği ihlal edilmiş bir hesaba nasıl erişebileceğini belirlemeyi amaçlamıştır. Ancak günümüzde şifre güvenliği ihlallerini bulmak eskisinden çok daha kolay. Kuruluş, bir hesap ihlali tespit edebileceğinden eminseyse, hesabının güvenliği ihlal edilmedikçe kullanıcının şifresini değiştirmesinin bir nedeni yoktur.

Parola alıcısı

Parola kullanım süresinin sona ermesi politikalarının kullanılmaması fikri önemli bir noktaya işaret etmektedir. Birçok kişi eski ile aynı şifreleri düşünür. 2012 kablolu kelime makalelerine göre, kökleri 1960'lardan itibaren MIT projesine kadar takip edilebilir. Bazı kaynaklar, parola kullanımının daha erken olabileceğini düşünüyor.

Parolaların gerçekten icat edildiği zamandan bağımsız olarak, parolaların yarım yüzyıldan fazla bir süredir var olduğunu söylemek doğrudur. BT teknolojilerinin çok azı bu tür bir ömre sahiptir, ancak şifre kavramı elli yıldan uzun bir süredir nispeten değişmeden kalmaktadır. Bazıları parolaların zaman testine dayantığını söylese de, diğerleri (ben dahil) parolaların yararlılıklarını aştığını söyleyebilir.

Parolalarla ilgili temel sorun, kolayca hacklenebilmesidir. Muhtemelen hepimiz, omzuna göz atan bir kişinin çaldığı bir şifrenin hikayelerini duyduk (şifresini yazarken birinin arkasında durmak). Bununla birlikte, birisinin şifresini yazarken izlenmesinin basit bir eylemi daha karmaşık hale gelmiştir. Sadece dün biri, kötü aktörlerin hangi tuşlara basıldığını görmek için tuşlarda ısı imzalarını aramak için termal görüntüleme kameralarını kullandıkları bir istismardan bahsetti. Söylediğim gibi, bu sömürü ağırlıklı olarak ATM'lerde PIN'leri bilmek için kullanılır, ancak aynı temel kavram şifre hırsızlığına kolayca uygulanabilir.

Son yıllarda, teknoloji bize şifre kullanımına daha iyi, daha güvenli ve daha az karmaşık alternatifler sağladı. Örneğin, Microsoft Surface Book 2 dizüstü bilgisayarınız yüz tanıma kimlik doğrulaması yapacak şekilde yapılandırılmıştır. Oturum açma işlemi şaşırtıcı derecede iyi çalışıyor ve hatırlanması gereken şifreler yok. Hepsinden iyisi, birisinin şifre çalması için çok az şans vardır, çünkü şifre yoktur. Yüzey Kitabı 2, yedekleme kimlik doğrulama mekanizması olarak dijital bir PIN kullanır, ancak PIN yalnızca yüz tanıma başarısız olduğunda gereklidir ve yüz tanıma mekanizması, kimlik doğrulama hatalarının çok nadir olması için yeterince iyi çalışır.

Sona Erme Politikası Değişikliği: Bir Uyarı

Bence, bu adım uzun zamandır beklenen şifre sona erme politikalarından kurtulmak için. Periyodik parola değişikliklerine ilişkin gereksinimler modern dünyada iyi performans göstermiyor ve güvenlik aslında zayıflayabilir. Şifre değiştirme politikanızı tamamen terk etmeden önce, bu politikalardan vazgeçmenin düzenlenmiş kuruluşlarda bir seçenek olmayabileceğini hatırlamak önemlidir. Bazı düzenleyici gereksinimler kümesi, şifrelerinin değiştirilme sıklığı hakkında özel gereksinimler içerebilir.