Μία από τις κοινές συμβουλές για την ασφάλεια του λογαριασμού είναι ότι οι χρήστες πρέπει να αλλάζουν τακτικά τους κωδικούς πρόσβασής τους. Το σκεπτικό πίσω από αυτήν την προσέγγιση είναι να ελαχιστοποιηθεί το χρονικό διάστημα για το οποίο είναι έγκυρος οποιοσδήποτε κωδικός πρόσβασης, σε περίπτωση που παραβιαστεί ποτέ. Ολόκληρη αυτή η στρατηγική βασίζεται σε ιστορικές συμβουλές από κορυφαίες ομάδες κυβερνοασφάλειας όπως το αμερικανικό NIST ή το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας.
Για δεκαετίες, οι κυβερνήσεις και οι εταιρείες ακολούθησαν αυτήν τη συμβουλή και ανάγκασαν τους χρήστες τους να επαναφέρουν τακτικά τους κωδικούς πρόσβασης, συνήθως κάθε 90 ημέρες. Με την πάροδο του χρόνου, ωστόσο, η έρευνα έδειξε ότι αυτή η προσέγγιση δεν λειτουργούσε όπως έπρεπε και το 2017 NIST μαζί με το Ηνωμένο Βασίλειο NCSC, ή το Εθνικό Κέντρο Ασφάλειας στον Κυβερνοχώρο, άλλαξαν τις συμβουλές τους ώστε να απαιτούν αλλαγές κωδικού πρόσβασης μόνο όταν υπάρχει εύλογη υποψία παραβίασης.
Γιατί άλλαξε η συμβουλή;
Η συμβουλή για τακτική αλλαγή κωδικών πρόσβασης εφαρμόστηκε αρχικά για να συμβάλει στην αύξηση της ασφάλειας. Από μια καθαρά λογική άποψη, η συμβουλή για τακτική ανανέωση των κωδικών πρόσβασης έχει νόημα. Ωστόσο, η εμπειρία του πραγματικού κόσμου είναι ελαφρώς διαφορετική. Η έρευνα έδειξε ότι ο εξαναγκασμός των χρηστών να αλλάζουν τακτικά τους κωδικούς πρόσβασής τους τους έκανε πολύ πιο πιθανό να αρχίσουν να χρησιμοποιούν έναν παρόμοιο κωδικό πρόσβασης που θα μπορούσαν απλώς να αυξήσουν. Για παράδειγμα, αντί να επιλέγουν κωδικούς πρόσβασης όπως "9L=Xk&2>", οι χρήστες θα χρησιμοποιούσαν αντ 'αυτού κωδικούς όπως "Spring2019!".
Αποδεικνύεται ότι, όταν αναγκάζονται να βρουν και να θυμούνται πολλούς κωδικούς πρόσβασης και στη συνέχεια να τους αλλάζουν τακτικά, οι άνθρωποι χρησιμοποιούν με συνέπεια κωδικούς πρόσβασης που είναι πιο ανασφαλείς για να θυμούνται εύκολα. Το πρόβλημα με τους αυξητικούς κωδικούς πρόσβασης όπως το "Spring2019!" είναι ότι μαντεύονται εύκολα και στη συνέχεια καθιστούν εύκολη την πρόβλεψη μελλοντικών αλλαγών. Σε συνδυασμό αυτό σημαίνει ότι η επιβολή επαναφοράς κωδικού πρόσβασης ωθεί τους χρήστες να επιλέξουν πιο εύκολο να θυμούνται και Επομένως, πιο αδύναμοι κωδικοί πρόσβασης, που συνήθως υπονομεύουν ενεργά το επιδιωκόμενο όφελος της μείωσης του μέλλοντος κίνδυνος.
Για παράδειγμα, σε ένα χειρότερο σενάριο, ένας χάκερ θα μπορούσε να θέσει σε κίνδυνο τον κωδικό πρόσβασης "Spring2019!" εντός μερικών μηνών από την έναρξη ισχύος του. Σε αυτό το σημείο, μπορούν να δοκιμάσουν παραλλαγές με "Fall" αντί για "Spring" και είναι πιθανό να αποκτήσουν πρόσβαση. Εάν η εταιρεία εντοπίσει αυτήν την παραβίαση ασφαλείας και στη συνέχεια αναγκάσει τους χρήστες να αλλάξουν τους κωδικούς πρόσβασής τους, είναι δίκαια πιθανόν ο επηρεαζόμενος χρήστης απλώς να αλλάξει τον κωδικό πρόσβασής του σε "Winter2019!" και σκεφτείτε ότι είναι ασφαλής. Ο χάκερ, γνωρίζοντας το μοτίβο μπορεί κάλλιστα να το δοκιμάσει εάν μπορέσει να αποκτήσει ξανά πρόσβαση. Ανάλογα με το πόσο καιρό ένας χρήστης διατηρεί αυτό το μοτίβο, ένας εισβολέας θα μπορούσε να το χρησιμοποιήσει για πρόσβαση για πολλά χρόνια, ενώ ο χρήστης αισθάνεται ασφαλής επειδή αλλάζει τακτικά τον κωδικό πρόσβασής του.
Ποια είναι η νέα συμβουλή;
Για να ενθαρρυνθούν οι χρήστες να αποφύγουν τους κωδικούς πρόσβασης με τύπο, η συμβουλή είναι τώρα να επαναφέρετε τους κωδικούς πρόσβασης μόνο όταν υπάρχει εύλογη υποψία ότι έχουν παραβιαστεί. Μη αναγκάζοντας τους χρήστες να θυμούνται τακτικά έναν νέο κωδικό πρόσβασης, είναι πιο πιθανό να επιλέξουν έναν ισχυρό κωδικό πρόσβασης στην αρχή.
Σε συνδυασμό με αυτό είναι μια σειρά από άλλες συστάσεις που στοχεύουν στην ενθάρρυνση της δημιουργίας ισχυρότερων κωδικών πρόσβασης. Αυτά περιλαμβάνουν τη διασφάλιση ότι όλοι οι κωδικοί πρόσβασης έχουν μήκος τουλάχιστον οκτώ χαρακτήρες στο απόλυτο ελάχιστο και ότι οι μέγιστοι αριθμοί χαρακτήρων είναι τουλάχιστον 64 χαρακτήρες. Συνέστησε επίσης στις εταιρείες να αρχίσουν να απομακρύνονται από τους κανόνες πολυπλοκότητας προς τη χρήση λιστών αποκλεισμού χρησιμοποιώντας λεξικά αδύναμων κωδικών πρόσβασης όπως "ChangeMe!" και "Password1" που συναντούν πολλές πολυπλοκότητες απαιτήσεις.
Η κοινότητα της κυβερνοασφάλειας συμφωνεί σχεδόν ομόφωνα ότι οι κωδικοί πρόσβασης δεν πρέπει να λήγουν αυτόματα.
Σημείωση: Δυστυχώς, σε ορισμένα σενάρια, μπορεί να είναι ακόμα απαραίτητο να γίνει αυτό, καθώς ορισμένες κυβερνήσεις δεν έχουν αλλάξει ακόμη νόμους που απαιτούν τη λήξη του κωδικού πρόσβασης για ευαίσθητα ή διαβαθμισμένα συστήματα.