मैंने कई मामलों में पाया है, उपयोगकर्ताओं को एक नियमित आधार पर अपना पासवर्ड बदलने के लिए मजबूर करना सुरक्षा के लिए मदद के बजाय रखरखाव पर अधिक दबाव बन जाता है। इसके अलावा, मैंने देखा है कि उपयोगकर्ता अपने नए पासवर्ड को नीचे लिखते हैं क्योंकि उन्हें या तो अपने पासवर्ड को याद करने के लिए पर्याप्त समय नहीं मिलता है और किसी दूसरे को फिर से सीखने के लिए परेशान नहीं किया जा सकता है।
पासवर्ड में बदलाव के लिए क्या सुरक्षा लाभ है?
जवाबों:
यहाँ SANS डायरी से एक अलग लेना है:
पासवर्ड नियम: उन्हें हर 25 साल में बदलें
एक व्यावहारिक लाभ है। यदि किसी के पास आपका पासवर्ड है, और वे सभी चाहते हैं कि वह आपके ईमेल को पढ़े और अनिर्धारित रहे, तो वे हमेशा के लिए ऐसा कर सकते हैं, जब तक कि आप अंततः अपना साइन-इन गुप्त नहीं बदलते। इस प्रकार, नियमित रूप से पासवर्ड बदलने से किसी को अपने सामान को तोड़ने और इसे बंद करने में मदद नहीं मिलती है, लेकिन यह आपको किसी भी स्टाकर या स्नूपर्स को हिला देने का मौका देता है जो आपके खाते तक पहुंच सकते हैं। हां, यह अच्छा है। लेकिन क्या यह लाभ अकेले परेशानी के लायक है और उपयोगकर्ताओं को हर 90 दिनों में अपना पासवर्ड बदलने के लिए मजबूर करने के नुकसान का उल्लेख किया है, मुझे संदेह है।
जब आप इसका अनुमान लगाते हैं तो पासवर्ड बदल देते हैं (हर समय अपने सभी उपयोगकर्ताओं पर एक पासवर्ड अनुमान कार्यक्रम चलाकर)।
जब "क्यों?" "क्योंकि हम इसे अंधे होने का अनुमान लगाने में सक्षम थे"। यह स्वचालित रूप से उन लोगों को पुरस्कृत करता है जो पासवर्ड का अनुमान लगाना मुश्किल करते हैं, और अपने उपयोगकर्ताओं को सिखाते हैं कि पासवर्ड क्या कमजोर हैं। यदि वे "पासवर्ड 1" चुनते हैं, तो इससे पहले कि वे एक बार लॉग इन कर सकें, यह समाप्त हो जाएगा। यदि कोई उपयोगकर्ता 16 वर्ण, यादृच्छिक, मिश्रित-केस, अल्फ़ान्यूमेरिक पासवर्ड चुनता है, तो आप कभी भी इसका अनुमान नहीं लगाएंगे - और न ही कोई और होगा। उन्हें इसे बहुत लंबे समय तक रखने दें, और वे इसे याद करने में भी सक्षम होंगे।
यह एक व्यापार बंद है। बार-बार पासवर्ड बदलने की आवश्यकता कम गुणवत्ता वाले पासवर्ड में होती है। यहां तक कि इस आशय के शोध भी हुए हैं।
कहा जा रहा है कि, उपयोगकर्ताओं को पासवर्ड साझा करने से रोकने के लिए एकमात्र विश्वसनीय तरीका मुझे आवधिक पासवर्ड परिवर्तनों की आवश्यकता है। मेरा अनुभव बताता है कि 90 दिन प्रयोज्य और सुरक्षा के बीच एक अच्छा समझौता है। यदि आप लंबे समय तक चलते हैं, तो लोग साझा किए गए पासवर्ड पर भरोसा करना शुरू करते हैं - जितनी जल्दी हो सके और आप "नवंबर09", "दिसंबर 0 9" के साथ समाप्त हो जाएं।
पासवर्ड में बदलाव के लिए सबसे बुरी बात यह नहीं है कि आप वास्तव में लोगों को पासवर्ड बदलने के लिए प्रेरित कर रहे हैं। यह है कि आमतौर पर यह बहुत कम या कोई चेतावनी के साथ आता है, और वे तुरंत एक समस्या से प्रभावित होते हैं, जिसे उन्हें तुरंत निपटने की आवश्यकता होती है, इसलिए किसी को एक अच्छा पासवर्ड सोचने के लिए समय देने के बजाय यह एक होने की संभावना है जो या तो कम सुरक्षित है लेकिन याद रखना आसान है, या अधिक सुरक्षित है, लेकिन यह सिर्फ नीचे लिखा है, इस प्रकार सुरक्षा लाभ को नकारना है।
यदि पासवर्ड पर्याप्त जटिलता के हैं कि वे आसानी से अनुमान लगाने योग्य नहीं हैं, और उन्हें सिस्टम के बीच साझा नहीं किया जाता है, और यह संभावना नहीं है कि यह समझौता किया गया है, तो पासवर्ड बदलना संभवतः यह सब महत्वपूर्ण नहीं है।
हालांकि, क्या उनमें से कोई भी होना चाहिए, और पहले दो संभवतः अधिक सामान्य नहीं हैं, लोगों को समय-समय पर पासवर्ड बदलने के लिए मजबूर करने का मतलब है कि वे कम से कम पासवर्ड साझा करने की संभावना रखते हैं।
उस ने कहा, मैं आपके उपयोगकर्ताओं को एक अच्छा पासवर्ड क्या है के बारे में शिक्षित करने के लिए चुनूँगा, और उन्हें साझा करना बहुत बुरा क्यों है। उन्हें लिखना आम बात है कि आप क्या करते हैं।
मैं लोगों को सलाह देता हूं कि वे उस पुस्तक से एक पासवर्ड चुनें, जिसे वे जानते हैं, उसमें से कुछ नहीं-परिचित उद्धरण को याद करके या एक वाक्यांश बनाकर। प्रत्येक शब्द से पहले अक्षर का उपयोग करें, और कहीं अंदर दो नंबर जोड़ दें। ज्यादातर लोग याद कर सकते हैं कि उन्होंने इसे कुछ बार टाइप करने के बाद।
मुझे उस अभ्यास में कोई लाभ नहीं दिखता है।
मजबूत पासवर्ड बहुत अधिक महत्वपूर्ण है। मजबूत से मेरा मतलब है कि या तो 9+ अल्फ़ान्यूमेरिक + विशेष प्रतीकों, या 15+ [az] -ऑनली नॉन-डिक्शनरी पासवर्ड / वाक्यांश (यह अमेज़ॅन के EC2 का उपयोग करते हुए शानदार पासवर्ड की लागत के हाल के अध्ययन पर आधारित है)।
दूरस्थ रूप से एक्सेस किए गए सिस्टम में सभी उजागर सेवाओं पर ब्रूटफोर्स डिटेक्शन और रोकथाम सॉफ्टवेयर (जैसे विफल 2 एएनएन) होना चाहिए। यह बहुत अधिक महत्वपूर्ण है, आईएमओ, नियमित पासवर्ड-बदलने वाली नीति की तुलना में।
मूल मुद्दा यह है कि पासवर्ड, सुरक्षा तंत्र के रूप में, बदबू आ रही है।
यदि आप लोगों को अक्सर उन्हें बदलने के लिए कहते हैं, तो वे उन्हें लिखते हैं। यदि आप उन्हें कम से कम 3 संख्याओं, 4 ऊपरी मामलों के पत्रों और एक नियंत्रण चरित्र के साथ 30 पत्र पासवर्ड का उपयोग करने के लिए कहते हैं, तो वे उन्हें भूल जाते हैं या उन्हें लिख देते हैं या अन्य मूर्खतापूर्ण चीजें करते हैं। यदि वे सरल हैं, तो उपयोगकर्ता bunny7 या Bunny7 जैसे बेवकूफ पासवर्ड का उपयोग करेंगे। और वे हर चीज के लिए एक ही खराब पासवर्ड का उपयोग करेंगे, जिसमें उनका पोर्नो अकाउंट और उनका हॉटमेल अकाउंट शामिल है।
मुझे मोबाइल ओटीपी जैसे उपकरण पसंद हैं , जो उपयोगकर्ताओं को दो कारक प्रमाणीकरण उपकरण के रूप में अपने सेल फोन का उपयोग करने की अनुमति देते हैं।
लंबी अवधि में, यह संभावना है कि हम किसी तरह से उपयोगकर्ता पहचान तंत्र के रूप में एन्क्रिप्टेड सीट्स के साथ दुनिया में उतरेंगे। OpenID और CAS जैसी चीजें उपयोगकर्ता प्रमाणीकरण को आसान बनाती हैं और सुविधाजनक सिंगल-साइनॉन की अनुमति देती हैं।
लंबी अवधि में, सबसे अच्छी शर्त यह है कि उपयोगकर्ताओं को क्रेडेंशियल जारी करने के लिए जितनी बार ज़रूरत हो - "एचआर" पासवर्ड और "टाइम-शीट" पासवर्ड और "सीआरएम" पासवर्ड से छुटकारा पाएं। उन्हें एक सामान्य प्रमाणीकरण संरचना में एकीकृत करें, जिसके लिए उपयोगकर्ताओं को एक बार अपनी साख जारी करने की आवश्यकता होती है। फिर उन्होंने MobileOTP या RSA SecurID जैसी किसी चीज़ का उपयोग किया है जो दो-कारक प्रमाणीकरण का उपयोग करता है।
अल्पावधि में, पासवर्ड नीतियां धार्मिक युद्धों का विषय बनने जा रही हैं। बस वही करें जो आपका बॉस आपसे पूछता है, और यदि आप मालिक हैं, तो अपने उपयोगकर्ता-आधार और अपेक्षित सुरक्षा प्रोफ़ाइल के आधार पर अपने निर्णय का उपयोग करें।
सौभाग्य!
यह अभ्यास, जो पूरी तरह से बेकार नहीं है, बहुत पहले बहुत महत्वपूर्ण था। इस नीति पर बहस करना वास्तव में प्रतिशोधात्मक है, क्योंकि यह वर्तमान खतरों से ध्यान हटाता है जो बहुत अधिक गंभीर हैं।
विचार करें:
यदि आप Windows / AD का उपयोग करते हैं, और एक खाते में "खाता संवेदनशील है और उसे प्रत्यायोजित नहीं किया जा सकता है" के लिए चेक किया गया बॉक्स नहीं है, तो उस खाते का उपयोग प्रतिरूपण के माध्यम से किया जा सकता है, और किसी पासवर्ड की आवश्यकता नहीं है। ऐसा करने के लिए कोड तुच्छ है।
यदि किसी व्यक्ति की विंडोज़ वर्कस्टेशन सुरक्षा भेद्यता से समझौता किया जाता है, तो उनकी इन-मेमोरी विंडोज़ सिक्योरिटी टोकन का उपयोग अन्य कंप्यूटरों तक पहुंचने के लिए किया जा सकता है। फिर से, पासवर्ड की आवश्यकता नहीं है।
इस तरह से, दूसरा यह है कि आपको केवल उसी खाते का उपयोग करके सर्वर का उपयोग करना चाहिए जो आपके दिन-प्रतिदिन के नियमित उपयोगकर्ता खाते से अलग है। यह भी ध्यान दें कि दोनों परिदृश्य पूरी तरह से सबसे मजबूत दो-कारक प्रमाणीकरण तंत्र को भी हरा देते हैं।
पासवर्ड सुरक्षा के संबंध में सबसे अच्छी बात यह हो सकती है कि इस पर बहस बंद करें और अधिक समकालीन और गंभीर खतरों पर ध्यान केंद्रित करें।
अधिक जानकारी:
ल्यूक जेनिंग्स की प्रस्तुति देखें, "उन सभी पर शासन करने के लिए एक टोकन":
http://eusecwest.com/esw08/esw08-jennings.pdf
अनिद्रा शेल - एक ASP.Net सर्वर पर टोकन से समझौता करने के लिए आवश्यक कोड का उदाहरण:
http://www.insomniasec.com/releases/tools
कैसे करें: ASP.NET 2.0 में प्रोटोकॉल ट्रांज़िशन और विवश प्रतिनिधि का उपयोग करें
http://msdn.microsoft.com/en-us/library/ms998355.aspx
"बिना पासवर्ड के" खोजें।
एक पासवर्ड जितना अधिक समय तक अपरिवर्तित रहेगा, उतनी ही समझौता होगा, बस, क्योंकि ऐसी स्थितियों के लिए अधिक अवसर होगा जिसमें यह होने के लिए समझौता किया जा सकता है (किसी भी समय की अनंत राशि संभव है)। यह भविष्य में बदलने के लिए भी कठिन बनाता है क्योंकि उपयोगकर्ता पुराने के आदी हो गए होंगे। एक और जोखिम यह है कि यदि यह समझौता किया जाता है और उपयोगकर्ता इस तथ्य से अनजान है कि उपयोगकर्ता के खाते में कुछ गंभीर चल रहे दुरुपयोग की संभावना है। समय-समय पर होने वाले बदलाव कम से कम इस बात को कम कर देंगे कि अगले लागू किए गए पासवर्ड परिवर्तन के रूप में समझौता किया हुआ पासवर्ड बेकार हो जाएगा।
मेरे अनुभव में उपयोगकर्ताओं को पासवर्ड लिखने के लिए सबसे अधिक संभावना है कि आपके सुरक्षा ढांचे में शामिल-अप सोच की कमी है, जैसे कि कई अलग-अलग प्रणालियां, जिनमें सभी को अपने स्वयं के अनूठे उपयोगकर्ता नाम और पासवर्ड कॉम्बो की आवश्यकता होती है। एक उपयोगकर्ता पर 5 फेंको और आप एक प्रतिशोध के साथ पीले-चिपचिपा-नोट-सिंड्रोम प्राप्त करेंगे।
एक उचित पासवर्ड नीति, जो उपयोगकर्ताओं को याद रखने में आसान, लेकिन दरार करने में कठिन, कुछ अच्छी उपयोगकर्ता शिक्षा, कुछ ठोस एकीकृत प्रमाणीकरण और सभ्य लॉकआउट और समाप्ति नीतियों के साथ युग्मित करने की अनुमति देती है, सभी AUP द्वारा समर्थित है जो स्पष्ट रूप से पासवर्ड साझा करने से मना करता है, सबसे अच्छा तरीका।
यदि आप क्रेडेंशियल (जो ज्यादातर लोग उपलब्धता के लिए करते हैं) को कैच कर रहे हैं तो यह एक जरूरी बात है। यदि कोई कंप्यूटर शारीरिक रूप से चोरी हो गया है और क्रेडेंशियल कैशिंग सक्षम है, तो चोर खाता लॉकआउट नीति के सक्रिय होने के डर के बिना नेटवर्क के मशीन को बंद कर सकता है। उनके पास आपके नेटवर्क संसाधनों के लिए मान्य क्रेडेंशियल हैं। नियमित अंतराल पर इन पासवर्डों को बदलने से इस क्षति को कम करने में मदद मिल सकती है।
यह सटीक कारण है कि आप कभी भी विशेषाधिकार प्राप्त खाते से लॉग इन नहीं करते हैं, आप हमेशा एक सीमित उपयोगकर्ता के रूप में लॉग इन करते हैं और अलग-अलग संकेतों को बढ़ाते हैं, यह विशेषाधिकार प्राप्त क्रेडेंशियल्स को चोरी / टूटने की स्थिति में मजबूर होने से रोकता है।
मैं पासवर्ड परिवर्तन की आवश्यकता कभी नहीं के शिविर में हूँ। या जैसा कि लेख कहता है - हर 25 साल - हाँ मैं तब मर जाऊंगा। अच्छा। यहाँ क्यों है ... मेरे पास अपनी नौकरी में याद रखने के लिए 12 पासवर्ड हैं। उनमें से ज्यादातर बदल जाते हैं और जो बदलते हैं वे पूरी तरह से अलग-अलग शेड्यूल पर होते हैं। उन सभी के पास अलग-अलग ताकत की आवश्यकताएं हैं। एक कमजोर इंसान इससे कैसे निपट सकता है? कई तरीके मैंने देखे हैं: उन्हें एक सफेद बोर्ड पर लिखें। उन्हें एक कागज पर लिखें और उन्हें एक अनलॉक दराज में रखें। या मेरी पसंदीदा विधि: उन्हें काफी असुरक्षित Google डॉक्टर स्प्रेडशीट में संग्रहीत करें। ऐसा कोई तरीका नहीं है जिससे आप मुझे समझा सकें कि इनमें से कोई भी तरीका (जो बहुत ही सामान्य है) परिवर्तनों की आवश्यकता के द्वारा प्राप्त किसी भी छोटे सुरक्षा लाभ को पूरी तरह से ऑफसेट नहीं करता है।
मेरे पास इस पोस्ट को लिखने का समय है क्योंकि मैं अपने किसी खाते को अनलॉक करने के लिए आईटी समर्थन में किसी का इंतजार कर रहा हूं। जाहिरा तौर पर मैंने पिछली बार अपनी स्प्रेडशीट को ठीक से अपडेट नहीं किया था। क्या कोई अध्ययन है जो इस बकवास के लिए खोए गए $ $ $ $ की गणना करता है?