Политика истечения срока действия пароля [закрыто]

Я предложил бы использовать немного математики, которая принимает во внимание Вашу минимальную сложность пароля, как быстро взломщик мог предположить пароли, количество разблокированных учетных записей, которые Вы имеете, и некоторая информированная информация о Ваших рисках.

Надо надеяться, у Вас есть своего рода ограничение уровня для подбора пароля. Обычно это было бы через что-то что временные учетные записи блокировок после некоторого количества неверных паролей.

И надо надеяться у Вас есть своего рода требования сложности пароля так, чтобы "A" и "пароль" не были позволены.

Давайте предположим после 30 ошибок пароля через 10 минут блокировку учетной записи в течение 20 минут. Это эффективно ограничивает уровень предположения пароля 174 в час, или 4176 в день. Но давайте предположим, что это на пользователя.

Давайте предположим, что Вы требуете 8 + символьные пароли, содержащие верхний, ниже и число, и что Вы делаете некоторые проверки словаря, чтобы гарантировать, что те пароли довольно случайны. Худший случай Ваши пользователи, все помещают одно верхнее, и одно число в том же месте и Вашем взломщике, знают это, таким образом, Вы имеете 10 * 26 ^ 7 (80G) возможные пароли. Лучший случай 62^8 (218T).

Так, взломщик, пробующий каждый возможный пароль, поразил бы их всех в течение 50 000 лет в худшем случае, и почти 600 миллионов тысячелетий в лучшем случае. Или, другими словами, учитывая один год они имели бы между 1 в 50 000 и 1 в 52,000,000,000 из предположения. Если у Вас будет база пользователей 50 000, то почти гарантируется, что в худшем случае они вошли бы в одну учетную запись в год и имели бы примерно 50%-й шанс получения одной учетной записи каждые 6 месяцев.

И если у Вас не было ограничения уровня, и взломщик мог бы предположить миллиард паролей в день? Тот в 600 шансах вхождения в учетную запись через год или виртуальную гарантию получения приблизительно 80 из Ваших 50 000 пользователей каждый год.

Работа над той математикой и фигура, где Ваш приемлемый уровень риска. И помните, что, чем короче Вы устанавливаете его, тем тяжелее это будет для пользователей для запоминания и более вероятно, им запишут его где-нибудь удобный для локального взломщика.

Как добавленная премия: если кто-то пробует тысячи паролей на пользователя в день против Ваших систем, я действительно надеюсь, что у Вас есть своего рода контроль, который взял бы это.

Править: Забыл упоминать: наша фактическая политика составляет 90 дней, но это имеет все, чтобы сделать с результатами дезинформированными аудиторами безопасности и ничем, чтобы сделать с действительностью.

90 дней, кажется, достаточны для большинства сценариев. Мое самое большое беспокойство является сложностью пароля. Больше, чем проблема периода времени в генерации его отмечают, принудительная сложность. Это - одна вещь избежать слов словаря и другого, чтобы иметь специальные символы, но когда Вы начинаете говорить, что никакие символы не могут повториться или быть в возрастании/порядке по убыванию, Вы сделали свои пользовательские жизни трудными. Добавьте, что к короткой жизни пароля и Вы только что приветствовали в большем количестве проблем.

Истечение пароля является раздражающим и уменьшает безопасность.

Истечение пароля защищает от ситуации, где взломщик уже поставил под угрозу пароль пользователя однажды, но не имеет механизма обнаружения, что это находится на непрерывной основе (например, клавиатурный перехватчик)

Однако это также мешает помнить пароли, делая его более вероятно, что пользователи запишут их.

Как защищающий от уже поставленного под угрозу пароля не действительно необходимо (Вы надеетесь), я считаю истечение пароля бесполезным.

Заставьте пользователей выбирать сильный пароль для начала; поощрите их помнить это, затем не требовать, чтобы они изменили его, когда-либо, или они закончат тем, что записали их везде.

Если у Вас есть устройство, которому нужно "высоко к сверхвысоким" гарантиям безопасности, Вы - более обеспеченное использование аппаратного ключа, который генерирует одноразовые пароли вместо того, чтобы полагаться на наличие истечений пароля.

Основная "победа" для системы истечения пароля - то, что Вам, в конечном счете, отключат учетную запись, если владелец счета покинет организацию, поскольку дополнительная "проверка и баланс" в "учетную запись должны быть отключены, когда владелец счета уезжает".

Осуществление истечения пароля приводит, в лучшем случае к высококачественным записанным паролям и в худшем случае к неверным паролям (на предыдущем рабочем месте, после того как мы были вынуждены использовать истечение пароля, я закончил тем, что использовал (по существу) prefixJan2003, prefixFeb2003 и так далее, поскольку мой предпочтительный метод генерации паролей (48 случайных битов, Base64-закодированных), не масштабируется к "новым паролям каждый месяц").

Я думаю, задаете ли Вы 10 различным специалистам по безопасности этот вопрос - Вы получили бы 10 различных ответов.

Это значительно зависит от того, как очень важный актив пароль защищает.

Если у Вас есть очень безопасный актив, необходимо установить политику истечения пароля, достаточно короткую так, чтобы у любого внешнего злоумышленника не было времени к грубой силе паролем. Другая переменная в этой ситуации - то, какой уровень сложности требуется на паролях.

Для низких и средних систем безопасности я думаю, что 6-месячная политика истечения очень справедлива.

Для безопасности высокого уровня я думаю, что месяц был бы лучше - и для 'крайних' безопасных установок будут ожидаться еще более короткие периоды времени.

Мы осуществляем 90-дневное истечение пароля на всех здесь, (включая нас.)

Главным образом, потому что это - просто лучшие практики. Возможности кого-то использующего "слабый" пароль, по сравнению с более сильным больше, и дольше Вы оставляете его, то же возможно привело бы к долгосрочному, необнаруженному нарушению защиты.

Мы ежегодно истекаем пароли и требуем сильный (предпочтительно случайный) пароли дольше, чем 10 символов. Мы выполняем атаки с подбором по словарю на паролях людей, когда они изменяют их. Мы сохраняем прошлые хэши пароля так, чтобы пароли не могли быть снова использованы. Мы также проверяем на потенциальные даты в пароле как сказанный vatine.;) Последним было мое дополнение...

В прежнем задании мы действительно пытались истечь более часто по новой воле администратора сетевой безопасности - каждые два месяца. Спустя две недели после первого принудительного изменения, я взял его вокруг наших административных офисов, и мы смотрели под клавиатурами и ковриками для мыши людей. Более чем 50% из них записали пароль на постэтом внизу. Он был рад ослабить политику после того, как мы сели и говорили с административным штатом - их мнение было то, что у них не было его достаточно долго для запоминания.

Большая часть нашего материала в эти дни является единой точкой входа в нескольких бункерах. Ресурсы кампуса (редко используемый для большинства людей) находятся в одном бункере, и тем паролем управляет наша центральная группа IT. Ведомственные ресурсы (используемый ежедневно - вход в систему машины, электронная почта, редактирование веб-сайта, фотокопировальное устройство) являются паролем, управляемым нашей группой, также ежегодно истекал. Если люди хватают о том, чтобы быть разбитым, мы указываем, что у них действительно только есть один пароль для запоминания.

В эти дни я генерирую md5sum на случайном файле в/var/log и использую подмножество этого для моих паролей.

У нас было много дискуссий об этой паре несколько лет назад, когда мы запустили политику истечения пароля. Мы только что закончили l0phcract, выполненный с таблицами радуги против AD дерева для наблюдения, как плохо это было, и это было довольно ужасающе. Выходящее за край из глаза число пользователей все еще использовало их "пароль" временного файла справочной службы после вызова в/отбрасывающий для сброса пароля, чего-то ужасающего как 30% используемый "пароль" или некоторый вариант как их пароль (p@ $$w0rd, и т.д.). То убежденное управление, что это должно было произойти.

Будучи более высоким редактором, у нас было лето для утверждения с при выборе интервала. Большая наша способность не преподает в течение лета, таким образом, наша справочная служба должна была заключить в фигурные скобки для, "Я забыл свой пароль" вызовы, поскольку они все возвращаются в сентябре. Я думаю, и я могу быть неправым, что наш интервал составляет 6 месяцев за исключением летнего квартала. Таким образом, если бы Ваши 6 истечений пароля мес имеют его истекающий в середине августа, это было бы случайным образом повторно запрограммировано для сброса в конце сентября до начала октября.

Лучший вопрос состоит в том, как часто Ваша служебная учетная запись и пароли администратора повернуты. Слишком часто они, кажется, освобождены от политик изменения пароля. Кто хочет пройти все те сценарии для служебного изменения пароля учетной записи? И некоторые системы резервного копирования мешают изменять используемые пароли, который обеспечивает препятствие для изменения паролей администратора.

Одна основная проблема с истекающим паролем часто состоит в том, что люди будут изо всех сил пытаться помнить их, таким образом, у Вас или будут люди, использующие слабые или подобные пароли, или если Ваша политика не позволит это, то они начнут записывать пароли, чтобы помочь помнить их. У Вас также будет больше запросов изменения пароля, когда люди действительно забудут их.

Лично, это зависит от того, для чего используется пароль, но я склонен не сохранять пароль больше чем 3 месяцами, если это не заполнение одноразового аккаунта. Для более высокого материала риска, каждый месяц или так хорошо, и вызывающе измените его, если кто-то еще, кто знает это, уезжает. Поскольку я работаю в маленьком компьютерном бизнесе поддержки, у нас есть несколько паролей, которые совместно используются большим количеством людей, таким образом, мы не хотим изменять их очень часто, из-за разрушения он может вызвать.

Интересные комментарии до сих пор. Конечно, почему это всегда - обсужденный, что запоминание паролей является техническим по сравнению с нетехнической проблемой персонала в компании? Что делает чью-то способность с компьютерным оборудованием/, программное обеспечение имеют какое-либо отношение к их способности взять серьезную безопасность? Нетехнический человек выделит их Кредитную карту или Дебетовые Контакты #? Кроме того, люди, помещающие пароли в него примечания по их столу, должны быть основаниями для увольнения. Ее удивительное, как память людей улучшится, когда они на самом деле поймут безопасность, важно и должно быть отнесено серьезно. Я вижу его не отличающийся, что роль дресс-кодов и проводит политики на работе. Следуйте правилам или до свидания!

Я думаю, что наличие большего безопасного пароля намного более важно, чем частое изменение его, но оба определенно необходимы для защищенной системы.

Аргумент идет, который сложные пароли являются трудными помнить и привести к сотрудникам, записывающим их. Моя вера на этом состоит в том, что подавляющее большинство нападений прибывает из внешней стороны, и даже запись сложного пароля и запись на ленту его к Вашему монитору более безопасны, чем запоминание простого пароля.

Я реализую шифр Вернама и основанную на маркере времени аутентификацию, таким образом, в теории каждый раз пользователь входит в систему.

Хотя это возможно вне темы, шифр Вернама, кажется, отличное решение.

Точно так же и более в основном, обеспечение, что пользователь создает сильный пароль и понимает этику позади Вашей политики безопасности (не записывает его, не делайте это Вашим днем рождения, не давайте его никому), пойдет намного дальше, чем простое то, чтобы вынуждать их изменить его каждый энный основанный на времени интервал.