Један од уобичајених савета за безбедност налога је да корисници треба редовно да мењају своје лозинке. Образложење иза овог приступа је да се минимизира дужина времена за које је било која лозинка важећа, у случају да икада буде угрожена. Цела ова стратегија заснована је на историјским саветима врхунских група за сајбер безбедност као што је амерички НИСТ или Национални институт за стандарде и технологију.
Деценијама су владе и компаније следиле овај савет и приморавале своје кориснике да редовно ресетују лозинке, обично сваких 90 дана. Током времена, међутим, истраживање је показало да овај приступ не функционише како је планирано и 2017 НИСТ заједно са УК НЦСЦ, или Национални центар за сајбер безбедност, променили су своје савете тако да захтевају промену лозинке само када постоји основана сумња на компромис.
Зашто је савет промењен?
Савет да се редовно мењају лозинке првобитно је примењен како би се повећала безбедност. Из чисто логичке перспективе, савет да редовно освежавате лозинке има смисла. Искуство у стварном свету је ипак мало другачије. Истраживање је показало да је приморавање корисника да редовно мењају своје лозинке значајно повећало вероватноћу да почну да користе сличну лозинку коју би могли само да повећају. На пример, уместо да бирају лозинке попут „9Л=Кск&2>“, корисници би уместо тога користили лозинке попут „Пролеће2019!“.
Испоставило се да, када су приморани да смисле и запамте више лозинки и да их затим редовно мењају, људи доследно користе несигурније лозинке које се лако памте. Проблем са инкременталним лозинкама као што је „Пролеће 2019!“ је да их је лако погодити, а затим олакшавају предвиђање будућих промена. Комбиновано ово значи да присилно ресетовање лозинке гура кориснике да изаберу лакше за памћење и дакле слабије лозинке, које обично активно поткопавају намеравану корист од смањења будућности ризик.
На пример, у најгорем случају, хакер би могао да угрози лозинку „Пролеће 2019!“ у року од неколико месеци од његовог важења. У овом тренутку, они могу испробати варијанте са „Јесен“ уместо „Пролеће“ и вероватно ће добити приступ. Ако компанија открије ово кршење безбедности, а затим примора кориснике да промене своје лозинке, то је поштено вероватно да ће погођени корисник само променити своју лозинку у „Винтер2019!“ и мисле да јесу безбедно. Хакер, који зна образац, може то покушати ако поново добије приступ. У зависности од тога колико дуго се корисник придржава овог обрасца, нападач би могао да га користи за приступ током више година, све док се корисник осећа безбедно јер редовно мења своју лозинку.
Шта је нови савет?
Да би се подстакли корисници да избегавају формуличне лозинке, савет је да се лозинке ресетују само када постоји основана сумња да су компромитоване. Не присиљавајући кориснике да редовно памте нову лозинку, већа је вероватноћа да ће прво изабрати јаку лозинку.
У комбинацији са овим су бројне друге препоруке које имају за циљ да подстакну стварање јачих лозинки. То укључује осигурање да све лозинке имају најмање осам знакова на апсолутном минимуму и да максимални број знакова буде најмање 64 знака. Такође је препоручио да компаније почну да се удаљавају од правила сложености ка коришћењу блок-листа користећи речнике слабих лозинки као што је „ЦхангеМе!“ и „Лозинка1“ који испуњавају многе сложености захтевима.
Заједница сајбер безбедности готово се једногласно слаже да лозинке не би требало аутоматски истећи.
Напомена: Нажалост, у неким сценаријима, можда ће то и даље бити неопходно, јер неке владе тек треба да промене законе који захтевају истек лозинке за осетљиве или поверљиве системе.