Người dùng có nên buộc phải đặt lại mật khẩu thường xuyên không?

Một trong những lời khuyên phổ biến về bảo mật tài khoản là người dùng nên thay đổi mật khẩu thường xuyên. Lý do đằng sau cách tiếp cận này là giảm thiểu khoảng thời gian mà bất kỳ mật khẩu nào còn hiệu lực, trong trường hợp mật khẩu bị xâm phạm. Toàn bộ chiến lược này dựa trên lời khuyên lịch sử từ các nhóm an ninh mạng hàng đầu như NIST Hoa Kỳ hoặc Viện Tiêu chuẩn và Công nghệ Quốc gia.

Trong nhiều thập kỷ, các chính phủ và công ty đã làm theo lời khuyên này và buộc người dùng của họ phải thường xuyên đặt lại mật khẩu, thường là 90 ngày một lần. Tuy nhiên, theo thời gian, nghiên cứu cho thấy rằng cách tiếp cận này không hoạt động như dự định và vào năm 2017 NIST cùng với NCSC của Vương quốc Anh , hoặc Trung tâm An ninh mạng Quốc gia, đã thay đổi lời khuyên của họ là chỉ yêu cầu thay đổi mật khẩu khi có nghi ngờ thỏa hiệp hợp lý.

Tại sao lời khuyên bị thay đổi?

Lời khuyên thường xuyên thay đổi mật khẩu ban đầu được thực hiện để giúp tăng cường bảo mật. Từ góc độ logic thuần túy, lời khuyên thường xuyên làm mới mật khẩu có ý nghĩa. Tuy nhiên, trải nghiệm trong thế giới thực hơi khác một chút. Nghiên cứu cho thấy việc buộc người dùng thường xuyên thay đổi mật khẩu khiến họ có nhiều khả năng bắt đầu sử dụng một mật khẩu tương tự mà họ có thể tăng lên đáng kể. Ví dụ: thay vì chọn mật khẩu như “9L = Xk & 2>”, người dùng sẽ sử dụng mật khẩu như “Spring2019!”.

Hóa ra, khi buộc phải nghĩ ra và ghi nhớ nhiều mật khẩu và sau đó thường xuyên thay đổi chúng, mọi người thường sử dụng mật khẩu dễ nhớ và không an toàn hơn. Vấn đề với mật khẩu gia tăng như “Spring2019!” là chúng dễ dàng đoán được và sau đó cũng dễ dàng dự đoán những thay đổi trong tương lai. Kết hợp điều này có nghĩa là việc buộc đặt lại mật khẩu sẽ đẩy người dùng chọn các mật khẩu dễ nhớ hơn và do đó yếu hơn, điều này thường chủ động làm suy yếu lợi ích dự định là giảm rủi ro trong tương lai.

Ví dụ: trong trường hợp xấu nhất, tin tặc có thể xâm phạm mật khẩu “Spring2019!” trong vòng vài tháng kể từ khi nó có hiệu lực. Tại thời điểm này, họ có thể thử các biến thể có "Fall" thay vì "Spring" và họ có thể có quyền truy cập. Nếu công ty phát hiện vi phạm bảo mật này và sau đó buộc người dùng thay đổi mật khẩu của họ, rất có thể người dùng bị ảnh hưởng sẽ chỉ thay đổi mật khẩu của họ thành “Winter2019!” và nghĩ rằng chúng an toàn. Tin tặc, biết rõ mô hình này có thể thử điều này nếu họ có thể truy cập lại. Tùy thuộc vào thời gian người dùng gắn bó với mẫu này, kẻ tấn công có thể sử dụng nó để truy cập trong nhiều năm, tất cả trong khi người dùng cảm thấy an toàn vì họ thường xuyên thay đổi mật khẩu của mình.

Lời khuyên mới là gì?

Để giúp khuyến khích người dùng tránh dùng mật khẩu công thức, lời khuyên là chỉ nên đặt lại mật khẩu khi có nghi ngờ hợp lý rằng chúng đã bị xâm phạm. Bằng cách không buộc người dùng phải thường xuyên nhớ mật khẩu mới, nhiều khả năng họ sẽ chọn một mật khẩu mạnh ngay từ đầu.

Kết hợp với điều này là một số khuyến nghị khác nhằm khuyến khích việc tạo mật khẩu mạnh hơn. Những điều này bao gồm việc đảm bảo rằng tất cả các mật khẩu có độ dài tối thiểu tuyệt đối là tám ký tự và số ký tự tối đa là ít nhất 64 ký tự. Nó cũng khuyến nghị rằng các công ty bắt đầu tránh xa các quy tắc phức tạp hướng tới việc sử dụng danh sách chặn bằng cách sử dụng từ điển các mật khẩu yếu như “ChangeMe!” và “Password1” đáp ứng nhiều yêu cầu phức tạp.

Cộng đồng an ninh mạng gần như nhất trí rằng không nên tự động hết hạn mật khẩu.

Lưu ý: Thật không may, trong một số trường hợp, vẫn có thể cần phải làm như vậy, vì một số chính phủ vẫn chưa thay đổi luật yêu cầu hết hạn mật khẩu đối với các hệ thống nhạy cảm hoặc đã phân loại.