Et af de almindelige råd om kontosikkerhed er, at brugere bør ændre deres adgangskoder regelmæssigt. Begrundelsen bag denne tilgang er at minimere den tid, ethvert kodeord er gyldigt i, i tilfælde af at det nogensinde bliver kompromitteret. Hele denne strategi er baseret på historisk rådgivning fra top cybersikkerhedsgrupper såsom det amerikanske NIST eller National Institute of Standards and Technology.
I årtier fulgte regeringer og virksomheder dette råd og tvang deres brugere til regelmæssigt at nulstille adgangskoder, typisk hver 90. dag. Over tid viste forskning dog, at denne tilgang ikke virkede efter hensigten og i 2017 NIST sammen med Storbritannien NCSC, eller National Cyber Security Center, ændrede deres råd til kun at kræve adgangskodeændringer, når der er rimelig mistanke om kompromittering.
Hvorfor blev rådet ændret?
Rådene om regelmæssigt at ændre adgangskoder blev oprindeligt implementeret for at hjælpe med at øge sikkerheden. Fra et rent logisk perspektiv giver rådet om regelmæssigt at opdatere adgangskoder fornuftigt. Den virkelige oplevelse er dog lidt anderledes. Forskning viste, at det at tvinge brugere til regelmæssigt at ændre deres adgangskoder gjorde dem betydeligt mere tilbøjelige til at begynde at bruge en lignende adgangskode, som de bare kunne øge. For eksempel, i stedet for at vælge adgangskoder som "9L=Xk&2>" ville brugere i stedet bruge adgangskoder som "Forår2019!".
Det viser sig, at når folk bliver tvunget til at finde på og huske flere adgangskoder og derefter regelmæssigt ændre dem, bruger folk konsekvent let at huske adgangskoder, der er mere usikre. Problemet med inkrementelle adgangskoder som "Forår2019!" er, at de er let at gætte og så gør det nemt at forudsige fremtidige ændringer også. Kombineret betyder dette, at tvingelse af nulstilling af adgangskode skubber brugerne til at vælge lettere at huske og derfor svagere adgangskoder, der typisk aktivt underminerer den tilsigtede fordel ved at reducere fremtiden risiko.
For eksempel kan en hacker i værste tilfælde kompromittere adgangskoden "Spring2019!" inden for et par måneder efter den er gyldig. På dette tidspunkt kan de prøve varianter med "Efterår" i stedet for "Forår", og de vil sandsynligvis få adgang. Hvis virksomheden opdager dette sikkerhedsbrud og derefter tvinger brugerne til at ændre deres adgangskoder, er det rimeligt sandsynligvis vil den berørte bruger bare ændre deres adgangskode til "Winter2019!" og tror, at de er sikker. Hackeren, der kender mønsteret, kan godt prøve dette, hvis de er i stand til at få adgang igen. Afhængigt af hvor længe en bruger holder fast i dette mønster, kan en angriber bruge dette til adgang over flere år, alt imens brugeren føler sig sikker, fordi de regelmæssigt ændrer deres adgangskode.
Hvad er det nye råd?
For at hjælpe med at opmuntre brugere til at undgå formel-adgangskoder, er rådet nu kun at nulstille adgangskoder, når der er en rimelig mistanke om, at de er blevet kompromitteret. Ved ikke at tvinge brugere til regelmæssigt at huske en ny adgangskode, er der større sandsynlighed for, at de vælger en stærk adgangskode i første omgang.
Kombineret med dette er en række andre anbefalinger rettet mod at tilskynde til oprettelse af stærkere adgangskoder. Disse omfatter at sikre, at alle adgangskoder er mindst otte tegn lange på det absolutte minimum, og at det maksimale antal tegn er mindst 64 tegn. Det anbefalede også, at virksomheder begyndte at bevæge sig væk fra kompleksitetsregler mod brugen af bloklister ved at bruge ordbøger med svage adgangskoder såsom "ChangeMe!" og "Password1", som møder mange kompleksiteter krav.
Cybersikkerhedssamfundet er næsten enstemmigt enige om, at adgangskoder ikke bør udløbe automatisk.
Bemærk: I nogle scenarier kan det desværre stadig være nødvendigt at gøre det, da nogle regeringer endnu ikke har ændret love, der kræver adgangskodeudløb for følsomme eller klassificerede systemer.