Czy użytkownicy powinni być zmuszani do regularnego resetowania haseł?

Jedną z typowych wskazówek dotyczących bezpieczeństwa konta jest to, że użytkownicy powinni regularnie zmieniać swoje hasła. Uzasadnieniem tego podejścia jest zminimalizowanie czasu, przez który hasło jest ważne, na wypadek gdyby kiedykolwiek zostało naruszone. Cała ta strategia opiera się na historycznych poradach czołowych grup zajmujących się cyberbezpieczeństwem, takich jak amerykański NIST czy National Institute of Standards and Technology.

Przez dziesięciolecia rządy i firmy stosowały się do tych rad i zmuszały swoich użytkowników do regularnego resetowania haseł, zwykle co 90 dni. Jednak z biegiem czasu badania wykazały, że to podejście nie działało zgodnie z założeniami, a w 2017 r. NIST wraz z brytyjskim NCSC (National Cyber ​​Security Centre) zmienił swoje porady, aby wymagać zmiany hasła tylko wtedy, gdy istnieje uzasadnione podejrzenie naruszenia.

Dlaczego zmieniono radę?

Porada dotycząca regularnej zmiany haseł została pierwotnie zaimplementowana w celu zwiększenia bezpieczeństwa. Z czysto logicznego punktu widzenia rada dotycząca regularnego odświeżania haseł ma sens. Jednak doświadczenie w świecie rzeczywistym jest nieco inne. Badania wykazały, że zmuszanie użytkowników do regularnej zmiany haseł znacznie zwiększa prawdopodobieństwo, że zaczną używać podobnego hasła, które mogliby po prostu zwiększyć. Na przykład, zamiast wybierać hasła, takie jak „9L=Xk&2>”, użytkownicy będą zamiast tego używać haseł takich jak „Wiosna2019!”.

Okazuje się, że kiedy ludzie są zmuszeni do wymyślenia i zapamiętania wielu haseł, a następnie do ich regularnej zmiany, ludzie konsekwentnie używają łatwych do zapamiętania haseł, które są mniej bezpieczne. Problem z hasłami przyrostowymi, takimi jak „Wiosna2019!” jest to, że można je łatwo odgadnąć, a następnie łatwo przewidzieć przyszłe zmiany. W połączeniu oznacza to, że wymuszanie resetowania haseł skłania użytkowników do wybierania łatwiejszych do zapamiętania, a tym samym słabszych haseł, które zazwyczaj aktywnie podważają zamierzoną korzyść w postaci zmniejszenia przyszłego ryzyka.

Na przykład w najgorszym przypadku haker może złamać hasło „Wiosna2019!” w ciągu kilku miesięcy od wejścia w życie. W tym momencie mogą wypróbować warianty z „Jesień” zamiast „Wiosna” i prawdopodobnie uzyskają dostęp. Jeśli firma wykryje to naruszenie bezpieczeństwa, a następnie zmusi użytkowników do zmiany haseł, jest całkiem prawdopodobne, że dany użytkownik po prostu zmieni swoje hasło na „Zima 2019!” i myśl, że są bezpieczne. Haker znający wzorzec może spróbować tego, jeśli będzie mógł ponownie uzyskać dostęp. W zależności od tego, jak długo użytkownik trzyma się tego wzorca, osoba atakująca może użyć tego do uzyskania dostępu przez wiele lat, podczas gdy użytkownik czuje się bezpiecznie, ponieważ regularnie zmienia swoje hasło.

Jaka jest nowa rada?

Aby zachęcić użytkowników do unikania szablonowych haseł, radzimy, aby resetować hasła tylko wtedy, gdy istnieje uzasadnione podejrzenie, że zostały one naruszone. Nie zmuszając użytkowników do regularnego zapamiętywania nowego hasła, jest bardziej prawdopodobne, że w pierwszej kolejności wybiorą silne hasło.

W połączeniu z tym jest szereg innych zaleceń mających na celu zachęcenie do tworzenia silniejszych haseł. Obejmują one zapewnienie, że wszystkie hasła mają co najmniej osiem znaków w absolutnym minimum, a maksymalna liczba znaków wynosi co najmniej 64 znaki. Zalecił również, aby firmy zaczęły odchodzić od reguł złożoności w kierunku korzystania z list blokowania przy użyciu słowników słabych haseł, takich jak „ChangeMe!” oraz „Hasło1”, które spełniają wiele wymagań dotyczących złożoności.

Społeczność cyberbezpieczeństwa niemal jednogłośnie zgadza się, że hasła nie powinny wygasać automatycznie.

Uwaga: Niestety, w niektórych sytuacjach może to być nadal konieczne, ponieważ niektóre rządy nie zmieniły jeszcze przepisów wymagających wygaśnięcia hasła do systemów wrażliwych lub niejawnych.