आप अपने व्यवस्थापक / रूट पासवर्ड को कितनी बार बदलते हैं?

12

मुझे अपने डोमेन में व्यवस्थापक पासवर्ड को बदलने की बुरी आदत है। मेरे द्वारा उपयोग किए जाने वाले पासवर्ड बहुत अच्छे हैं, लेकिन मैं इस पर अधिक सुसंगत रहना चाहता हूं।

आपको क्या लगता है एक अच्छी आवृत्ति है? हर 6 महीने में शायद?

password

— user24555
स्रोत

पासवर्ड बदलने के लिए 90-दिन एक अच्छा सामान्य अभ्यास है।

— वार्नर

यूनिक्स के तहत आप एक उपकरण जैसे कि सूडो का उपयोग कर सकते हैं जिसका अर्थ है कि कुछ उपयोगकर्ताओं को थोड़े समय के लिए रूट प्रिविलेज प्रदान किया जा सकता है। उन्हें रूट पासवर्ड जानने की जरूरत नहीं है। वास्तव में, आप एक सेट नहीं होने या कभी इसे जानने के साथ दूर हो सकते हैं। इस मामले में आपको इसे बदलने की आवश्यकता नहीं है। हालांकि उपयोगकर्ताओं को अपने स्वयं के पासवर्ड बदलने की आवश्यकता होगी।

— मैट

हे भगवान, इन सभी पोस्टों को पढ़ने के बाद, मैं एक तथ्य के लिए जानता हूं कि एक डोमेन है जो मैं कभी-कभी काम करता हूं (जिसमें मैं sysadmin नहीं हूं, लेकिन एक व्यवस्थापक खाता है) जहां administratorपासवर्ड 7 वर्षों के लिए समान रहा है, और यह केवल 8 वर्ण लंबा है। शायद मैं उन्हें एक ईमेल भेजूंगा ...

— मार्क हेंडरसन

9

आइए एक त्वरित गणना करें (और एक पल के लिए सर्वोत्तम प्रथाओं को भूल जाएं):

अपने सिस्टम को हैक करने के लिए एक हमलावर के लिए छह महीने का समय सीमा मान लें। चलो यह भी मान लेते हैं, कि पासवर्ड 62 के आकार के वर्ण सेट से बेतरतीब ढंग से चुने गए हैं।

परिदृश्य 1: आप पूरे छह महीनों के लिए एक 9 वर्ण पासवर्ड का उपयोग करते हैं।

परिदृश्य 2: आप पहले तीन महीनों के लिए 9 वर्ण का पासवर्ड और शेष तीन संन्यासियों के लिए एक अलग 9 वर्ण का पासवर्ड प्रयोग करते हैं।

परिदृश्य 3: आप पूरे छह महीनों के लिए एक 10 वर्ण पासवर्ड का उपयोग करते हैं।

में परिदृश्य 1 , एक जानवर बल हमलावर 100% निश्चितता के साथ आपके अकाउंट हैक करता है, अगर वह उस समय में 62 ^ 9 प्रयास कर सकते हैं।

में परिदृश्य 2 , वह आधे समय (तीन महीने) में ही (62 ^ 9) / 2 attemps कर सकते हैं तो उसे 50% निश्चितता के साथ खाता हैक कर देंगे। दूसरे भाग में, उन्हें 50% निश्चितता के साथ एक और मौका मिलेगा। इसलिए सांख्यिकीय रूप से, वह 75% निश्चितता के साथ खाता हैक करेगा।

में परिदृश्य 3 , वह पूरे छह महीने के लिए 62 ^ 9 प्रयास करना होगा। लेकिन 62 ^ 10 संभावनाएं हैं। इसलिए वह खाता केवल 1/62 निश्चितता के साथ हैक करेगा, यह लगभग 1.6% है।

इसलिए यदि हम अन्य सभी कारकों को छोड़ देते हैं (जैसे कि चोरी हुए पासवर्ड और अन्य प्रकार के हमले), तो सिफारिश यह होगी कि आप छोटे (या सरल) पासवर्डों का उपयोग करने की तुलना में अधिक लंबे पासवर्ड चुनें, भले ही वे अधिक बार बदले जाएं। विशेष रूप से, क्योंकि परिदृश्य 3 में , याद करने के लिए केवल 10 वर्ण हैं, जबकि परिदृश्य 2 में , यह 18 वर्ण हैं।

— क्रिस लेर्चर
स्रोत

2

+1, बहुत लंबे पासवर्ड का उपयोग करें। कोई भी वास्तव में 6 महीनों में एक 18+ चरित्र पासवर्ड दरार करने वाला नहीं है। यदि वे वास्तव में आपके डेटा को खराब चाहते हैं, तो वे सर्वर को तोड़ देंगे और चोरी कर लेंगे।

— क्रिस एस

यह प्यार करो, अच्छी तरह से डाल दिया। पासवर्ड के साथ ... आकार मायने रखता है।

— कारा मरफिया

तो एक अच्छा लंबा पासवर्ड तो काफी लंबे समय के लिए अच्छा करना चाहिए। मुझे लगता है कि मैं सिर्फ एक अच्छे पासवर्ड का उपयोग करूंगा और 12 महीने का चक्र करूंगा। इससे मुझे हर चीज को तोड़ने का एक अच्छा मौका मिलेगा, जो दुर्भाग्य से टूट जाएगी। संपादित करें: अच्छे से मेरा मतलब है 16+ अक्षर। मुझे ऐसे वाक्यों का उपयोग करना पसंद है जिनमें विराम चिह्न और रिक्त स्थान शामिल हैं और सभी।

— user24555

मैं हमेशा उस समय गदगद हो जाता हूं, जब कोई व्यक्ति पासवर्ड के लिए क्रूरतापूर्ण व्यवहार करने की बात करता है। यह होने वाला नहीं है। अवधि। केवल NSA (या समतुल्य) या संगठित अपराध उस स्थिति में हो सकता है, जिस स्थिति में आपको बहुत बड़ी समस्याएं हैं जो किसी भी तरह एक अच्छे पासवर्ड से हल नहीं की जा सकती हैं।

— डान एंड्राट्टा

पिछली टिप्पणी में जोड़ते हुए, मैंने एक त्वरित गणित किया, और एक आधुनिक डेस्कटॉप के साथ 6 char पासवर्ड को क्रैक करने में लगभग 1 दिन लगेगा, जो कि 8 char पासवर्ड के लिए 10 वर्ष का होता है। एन्क्रिप्शन के लिए प्रदर्शन अगर Opensl गति परीक्षण से होता है।

— डैन एंड्राट्टा

2

हम ज्यादातर खिड़कियां हैं, और प्रत्येक व्यवस्थापक के पास अपना स्वयं का डोमेन व्यवस्थापक खाता है, और हम बस एक दूसरे पर भरोसा करते हैं कि उनके पास मजबूत पासवर्ड है और उन्हें हर अब और फिर से बदलना है। मुझे यकीन है कि सभी के पास मजबूत पासवर्ड हैं क्योंकि हम यह सुनिश्चित करने के लिए सहकर्मी-दबाव का उपयोग करते हैं कि वे लंबे हैं और उनमें संख्या और / या वर्ण हैं, लेकिन हम उन्हें अक्सर बदलते नहीं हैं। \ n

जोड़ा: अब तक, ज्यादातर लोगों ने शायद यह सुना है, लेकिन सिर्फ मामले में। एन्क्रिप्शन और सुरक्षा विशेषज्ञ ब्रूस श्नेयर का कहना है कि आपके पास मजबूत पासवर्ड होना चाहिए और उन्हें लिखना चाहिए।

— वार्ड - को पुनः स्थापित मोनिका
स्रोत

वह सहकर्मी दबाव कैसे काम करता है? क्या लोग एक दूसरे के पासवर्ड देख सकते हैं?

— बिल वीस

2

मेरे अनुभव से किसी भी उपयोगकर्ता को अपने स्वयं के पासवर्ड को बदलने का भरोसा नहीं किया जा सकता है, यहां तक कि आईटी कर्मचारी भी।

— ITGuy24

@ बिल: हम में से केवल 3 हैं, और हमने एक साथ लंबे समय तक काम किया है, इसलिए सहकर्मी दबाव "मैं तुम्हें तब किसी भी नंबर को टाइप नहीं करता था ..." की तर्ज पर है

— वार्ड - बहाल मोनिका

यह बहुत अच्छा नहीं है।

— बिल वीस

क्या एक "कसम जार" की तरह कुछ होने के बारे में? यदि कोई अन्य व्यवस्थापक आपके पासवर्ड को तोड़ने का प्रबंधन कर सकता है (ophcrack जैसी किसी चीज़ का उपयोग करके), तो आपको $ 5 बर्तन में रखना होगा।

— निक

1

यद्यपि यह अक्सर पासवर्ड बदलने के लिए सैद्धांतिक रूप से बेहतर होगा, चलो-राइट-ऑन-ए-ऑन-ए-पोस्ट-इट-फैक्टर तेजी से बढ़ता है क्योंकि वैधता अवधि कम हो जाती है।

यदि यह केवल निजी उपयोग के लिए है, तो सार्वजनिक कुंजी प्रमाणीकरण का उपयोग क्यों न करें और आपके कीरिंग के लिए सिर्फ एक अच्छा पीडब्लू है?

— अलेक्जेंडर टी
स्रोत

1

इस प्रश्न में पासवर्ड प्रबंधित करने के लिए बहुत सारे विचार हैं: serverfault.com/questions/21374/…

— वार्ड - बहाल मोनिका

1

क्या आप वास्तव में डोमेन (SID: S-1-5-21domain-500) के लिए प्रशासक खाते के बारे में बात कर रहे हैं, या क्या आप अपने लिए बनाए गए व्यवस्थापक खाते के बारे में बात कर रहे हैं ताकि आप इस बारे में उपयोगी लॉग प्राप्त कर सकें कि कौन क्या करता है?

मैं आमतौर पर एक लंबा (20+ कैरेक्टर पासवर्ड) रखने के लिए एडमिनिस्ट्रेटर अकाउंट सेट करूंगा और पासवर्ड को किसी सुरक्षित स्थान पर स्टोर करूंगा और कभी भी उस अकाउंट का उपयोग नहीं करूंगा। मैं आमतौर पर हर साल या तो केवल उस पासवर्ड को बदलता हूं। हमारे नेटवर्क में लॉकआउट सिस्टम भी है और इस तरह के किसी भी रिमोट ब्रूट बल के हमलों को बहुत प्रभावी होने से रोकना चाहिए। चूँकि मैं कभी भी दिन-प्रतिदिन के कार्यों के लिए पासवर्ड का उपयोग नहीं करता हूं, इसलिए इसकी अवरोधक होने की संभावना लगभग न के बराबर है।

यदि आप मेरे व्यक्तिगत खाते के बारे में बात कर रहे हैं जो मैंने व्यवस्थापक विशेषाधिकारों को दी है तो मैं इसे हर 6 महीने में बदल देता हूं। जब भी संभव हो मैं कुंजी-आधारित प्रमाणीकरण का उपयोग करना चाहता हूं ताकि मेरा पासवर्ड कहीं भी बहुत कम प्रसारित हो। मैं भी आम तौर पर काम नहीं करता है जो मुझे लगता है कि अधिकांश लोग उच्च-जोखिम वाले सिस्टम होंगे।

— Zoredache
स्रोत

मैं डोमेन व्यवस्थापक के बारे में बात कर रहा हूँ। मेरा अपना खाता डोमेन व्यवस्थापक समूह का हिस्सा नहीं है। मुझे लगता है कि मूल डोमेन व्यवस्थापक का उपयोग बंद करने और एक अलग उपयोगकर्ता नाम के साथ एक द्वितीयक डोमेन व्यवस्थापक बनाने के लिए यह एक अच्छा अभ्यास होगा।

— user24555

0

कोई फर्क नहीं पड़ता कि आप कितने जटिल पासवर्ड सेट कर रहे हैं। हर 30 से 42 दिनों में अपना पासवर्ड बदलने के लिए हमेशा एक अच्छा अभ्यास है। 6 महीने का तरीका बहुत पुराना पासवर्ड है। सुरक्षित और सुरक्षित रहने के लिए हमेशा एक अच्छी पासवर्ड नीति लागू होनी चाहिए :-)

— विवेक कुंभार
स्रोत

4

आप "30 से 42 दिन" के साथ कहाँ आते हैं?

— बिल वीस

आपके वातावरण के आधार पर हर 30 से 90 दिनों में पासवर्ड समाप्त होने के लिए यह एक सुरक्षा सर्वोत्तम अभ्यास है। इस तरह, एक हमलावर के पास सीमित समय होता है जिसमें वह उपयोगकर्ता के पासवर्ड को क्रैक कर सकता है और आपके नेटवर्क संसाधनों तक पहुंच सकता है। डिफ़ॉल्ट: 42. मेरे शब्द नहीं, इसे "बेस्ट प्रैक्टिसेस" से ले रहे हैं

— विवेक कुंभार

1

कैसे हमें एक दस्तावेज़ या संदर्भ के लिए एक लिंक देने के बारे में जहां यह केवल दोहराने के बजाय कहा गया है कि यह एक 'सर्वोत्तम अभ्यास' है। जब तक यह विश्वसनीय स्रोत में प्रकाशित नहीं होता है तब तक मैं आमतौर पर किसी चीज़ को सबसे अच्छा अभ्यास मानता हूं।

— ज़ोर्डचेस

1

ज़रूर .. ख़ुशी है कि आपने Technet.microsoft.com/en-us/library/cc784090(WS.10).aspx

— विवेक कुंभार

मेरे ब्राउज़र का खोज उपकरण टूट जाना चाहिए। मुझे वहां "42" नहीं दिख रहे हैं।

— बिल वीस

-1

मैं आम तौर पर केवल एक कर्मचारी के सदस्य के चले जाने के बाद रूट पासवर्ड रीसेट करता हूं ... लेकिन हर 90 दिनों में उपयोगकर्ता को अपना उपयोग बदलने के लिए प्रोत्साहित करते हैं।

— फिलिप
स्रोत