ユーザーはパスワードを定期的にリセットする必要がありますか？

アカウントのセキュリティに関する一般的なアドバイスの1つは、ユーザーがパスワードを定期的に変更する必要があるということです。このアプローチの背後にある理由は、パスワードが危険にさらされた場合に備えて、パスワードが有効である期間を最小限に抑えることです。この戦略全体は、米国NISTや米国国立標準技術研究所などのトップサイバーセキュリティグループからの歴史的なアドバイスに基づいています。

何十年もの間、政府や企業はこのアドバイスに従い、ユーザーに定期的に、通常は90日ごとにパスワードをリセットするように強制していました。ただし、調査によると、このアプローチは意図したとおりに機能していませんでした。2017年、NISTは英国のNCSCまたはNational Cyber​​ Security Centreとともに、侵害の疑いがある場合にのみパスワードの変更を要求するようにアドバイスを変更しました。

なぜアドバイスが変わったのですか？

パスワードを定期的に変更するというアドバイスは、もともとセキュリティを強化するために実装されました。純粋に論理的な観点から、パスワードを定期的に更新するというアドバイスは理にかなっています。ただし、実際の経験は少し異なります。調査によると、ユーザーに定期的にパスワードを変更するように強制すると、ユーザーは自分が増やすことができる同様のパスワードを使い始める可能性が大幅に高くなります。たとえば、ユーザーは「9L = Xk＆2>」のようなパスワードを選択するのではなく、「Spring2019！」のようなパスワードを使用します。

複数のパスワードを考え出し、覚えて、定期的に変更することを余儀なくされた場合、人々は一貫して、より安全でない覚えやすいパスワードを使用します。「Spring2019！」のようなインクリメンタルパスワードの問題 それらは簡単に推測でき、将来の変更も簡単に予測できるということです。これを組み合わせると、パスワードのリセットを強制すると、ユーザーは覚えやすく、したがって弱いパスワードを選択するようになり、通常、将来のリスクを軽減するという意図された利点が積極的に損なわれます。

たとえば、最悪のシナリオでは、ハッカーがパスワード「Spring2019！」を危険にさらす可能性があります。有効になってから数か月以内。この時点で、彼らは「春」の代わりに「秋」でバリアントを試すことができ、アクセスできる可能性があります。会社がこのセキュリティ違反を検出し、ユーザーにパスワードの変更を強制した場合、影響を受けるユーザーがパスワードを「Winter2019！」に変更する可能性がかなり高くなります。そして彼らは安全だと思います。パターンを知っているハッカーは、再びアクセスできるようになれば、これを試すことができます。ユーザーがこのパターンを維持する期間によっては、攻撃者はこれを複数年にわたるアクセスに使用する可能性がありますが、ユーザーは定期的にパスワードを変更しているため、安全だと感じています。

新しいアドバイスは何ですか？

ユーザーが公式のパスワードを使用しないように促すために、パスワードが危険にさらされている疑いがある場合にのみパスワードをリセットすることをお勧めします。ユーザーに新しいパスワードを定期的に覚えさせることを強制しないことで、ユーザーはそもそも強力なパスワードを選択する可能性が高くなります。

これと組み合わせて、より強力なパスワードの作成を促進することを目的とした他の多くの推奨事項があります。これには、すべてのパスワードが絶対最小で少なくとも8文字の長さであり、最大文字数が少なくとも64文字であることを確認することが含まれます。また、企業は複雑さのルールから、「ChangeMe！」などの弱いパスワードの辞書を使用したブロックリストの使用に移行することを推奨しました。および「Password1」は、多くの複雑さの要件を満たしています。

サイバーセキュリティコミュニティは、パスワードが自動的に期限切れにならないようにすることにほぼ満場一致で同意しています。

注：残念ながら、一部の政府では、機密性の高いシステムや分類されたシステムのパスワードの有効期限を要求する法律をまだ変更していないため、シナリオによっては、そうする必要がある場合があります。