Jedną z typowych wskazówek dotyczących bezpieczeństwa konta jest to, że użytkownicy powinni regularnie zmieniać swoje hasła. Uzasadnieniem takiego podejścia jest zminimalizowanie czasu, przez który hasło jest ważne, na wypadek gdyby kiedykolwiek zostało naruszone. Cała ta strategia opiera się na historycznych poradach czołowych grup zajmujących się cyberbezpieczeństwem, takich jak amerykański NIST czy National Institute of Standards and Technology.
Przez dziesięciolecia rządy i firmy stosowały się do tych rad i zmuszały swoich użytkowników do regularnego resetowania haseł, zwykle co 90 dni. Jednak z biegiem czasu badania wykazały, że to podejście nie działało zgodnie z założeniami, a w 2017 r. NIST wraz z brytyjskim NCSC, lub National Cyber Security Centre, zmieniły swoje porady, aby wymagać zmiany hasła tylko wtedy, gdy istnieje uzasadnione podejrzenie naruszenia.
Dlaczego zmieniono radę?
Zalecenie dotyczące regularnej zmiany haseł zostało pierwotnie zaimplementowane w celu zwiększenia bezpieczeństwa. Z czysto logicznego punktu widzenia rada dotycząca regularnego odświeżania haseł ma sens. Jednak doświadczenie w świecie rzeczywistym jest nieco inne. Badania wykazały, że zmuszanie użytkowników do regularnej zmiany haseł znacznie zwiększa prawdopodobieństwo, że zaczną używać podobnego hasła, które mogliby po prostu zwiększyć. Na przykład zamiast wybierać hasła, takie jak „9L=Xk&2>”, użytkownicy zamiast tego używaliby haseł takich jak „Wiosna2019!”.
Okazuje się, że kiedy ludzie są zmuszeni do wymyślenia i zapamiętania wielu haseł, a następnie do ich regularnej zmiany, ludzie konsekwentnie używają łatwych do zapamiętania haseł, które są mniej bezpieczne. Problem z hasłami przyrostowymi, takimi jak „Wiosna2019!” jest to, że można je łatwo odgadnąć, a następnie łatwo przewidzieć przyszłe zmiany. W połączeniu oznacza to, że wymuszenie resetowania hasła zmusza użytkowników do wyboru łatwiejszego do zapamiętania i dlatego słabsze hasła, które zazwyczaj aktywnie podważają zamierzoną korzyść polegającą na skróceniu przyszłości ryzyko.
Na przykład w najgorszym przypadku haker może złamać hasło „Wiosna2019!” w ciągu kilku miesięcy od wejścia w życie. W tym momencie mogą wypróbować warianty z „Jesień” zamiast „Wiosna” i prawdopodobnie uzyskają dostęp. Jeśli firma wykryje to naruszenie bezpieczeństwa, a następnie zmusi użytkowników do zmiany haseł, jest to sprawiedliwe prawdopodobnie użytkownik, którego dotyczy problem, po prostu zmieni swoje hasło na „Zima2019!” i pomyśl, że są bezpieczne. Haker znający wzorzec może spróbować tego, jeśli będzie mógł ponownie uzyskać dostęp. W zależności od tego, jak długo użytkownik trzyma się tego wzorca, osoba atakująca może użyć tego do uzyskania dostępu przez wiele lat, podczas gdy użytkownik czuje się bezpiecznie, ponieważ regularnie zmienia swoje hasło.
Jaka jest nowa rada?
Aby zachęcić użytkowników do unikania szablonowych haseł, radzimy, aby resetować hasła tylko wtedy, gdy istnieje uzasadnione podejrzenie, że zostały one naruszone. Nie zmuszając użytkowników do regularnego zapamiętywania nowego hasła, jest bardziej prawdopodobne, że w pierwszej kolejności wybiorą silne hasło.
W połączeniu z tym jest szereg innych zaleceń mających na celu zachęcenie do tworzenia silniejszych haseł. Obejmują one zapewnienie, że wszystkie hasła mają co najmniej osiem znaków w absolutnym minimum, a maksymalna liczba znaków wynosi co najmniej 64 znaki. Zalecił również, aby firmy zaczęły odchodzić od reguł złożoności w kierunku korzystania z list zablokowanych używanie słowników słabych haseł, takich jak „ChangeMe!” i „Hasło1”, które spełniają wiele złożoności wymagania.
Społeczność cyberbezpieczeństwa niemal jednogłośnie zgadza się, że hasła nie powinny wygasać automatycznie.
Uwaga: Niestety, w niektórych sytuacjach może to być nadal konieczne, ponieważ niektóre rządy nie zmieniły jeszcze przepisów wymagających wygaśnięcia hasła do systemów wrażliwych lub niejawnych.