Čo je vypršanie platnosti hesla?

Platnosť hesla je bezpečnostná politika, ktorá núti používateľov zmeniť svoje heslá po konkrétnom časovom období. Je navrhnutý tak, aby zmiernil riziko, že sa na škodlivé účely použijú ohrozené heslá. Tu je porucha:

Účel:

* Znižuje okno príležitosti pre útočníkov: Ak sa heslo ohrozí (napr. Prostredníctvom porušenia údajov, phishingu alebo škodlivého softvéru), obmedzenie jeho životnosti znižuje množstvo času, ktorý ho útočník môže použiť na získanie neoprávneného prístupu.

* núti používateľov prijať silnejšie heslá: Povzbudzuje používateľov, aby pravidelne aktualizovali svoje heslá, čo potenciálne vedie k používaniu silnejších a zložitejších hesiel v priebehu času. Myšlienka je, že používatelia sa nebudú môcť dostať preč s veľmi jednoduchými heslami, ak vedia, že ich budú potrebovať často.

* bojuje proti opakovaniu použitia hesla: Ak užívateľ opätovne použije rovnaké heslo vo viacerých službách a jedna z týchto služieb je ohrozená, vypršanie platnosti hesla pomáha zabrániť útočníkovi v používaní tohto ohrozeného hesla na iných účtoch (ak používateľ odvtedy zmenil svoje heslo v systéme po uplynutí platnosti).

* Požiadavky na dodržiavanie predpisov: Mnoho nariadení a priemyselných štandardov (napríklad HIPAA, PCI DSS atď.) Majdáte alebo odporúčajú vypršanie platnosti hesla v rámci komplexného bezpečnostného programu.

Ako to funguje:

1 Správca nakonfiguruje konkrétne časové obdobie (napr. 30 dní, 60 dní, 90 dní), po ktorom vyprší vypršanie hesiel.

2. Výzva na zmenu hesla: Keď sa používateľ prihlási a jeho heslo dosiahlo dátum vypršania platnosti, vyzve sa na jeho zmenu.

3. Vynucovanie: Systém presadzuje politiku tým, že zabráni používateľovi prihlásiť sa, kým nezmení svoje heslo.

4. História hesiel (voliteľné): Systémy často tiež presadzujú históriu hesiel a zabránia používateľom jednoducho opätovne používať rovnaké heslo bezprostredne po jeho zmene.

nevýhody a kritiky:

Zatiaľ čo Cieľom platnosti hesla je zlepšiť bezpečnosť, v posledných rokoch bola kritizovaná z niekoľkých dôvodov:

* Užívateľská únava a kontraproduktívne správanie: Časté zmeny hesla môžu viesť k „únave hesla“, kde si používatelia vyberajú slabé, predvídateľné heslá, ktoré sa dajú ľahko zapamätať alebo si ich zapísať, čím sú * menej * bezpečné.

* kognitívne bremeno: Pamätajte si, že neustále meniace sa heslá kladie bremeno kognitívnych schopností používateľov.

* Zvýšené hovory helpingu: Ressety hesla sú bežným dôvodom, prečo sa používatelia môžu kontaktovať, pomáha stolom, čo zvyšuje náklady na podporu.

* Zamerajte sa na zložitosť nad dĺžkou: Pravidlá vypršania hesla často zdôrazňujú požiadavky na zložitosť (veľké písmená, malé písmená, čísla, symboly), ktoré môžu byť menej účinné, ako si jednoducho vyžaduje dlhšie heslá.

Alternatívy a moderné prístupy:

Vzhľadom na nevýhody sa mnoho organizácií sťahuje od povinného vypršania platnosti hesla a prijíma alternatívne alebo doplnkové bezpečnostné opatrenia:

* Multifaktorové overenie (MFA): MFA pridáva ďalšiu vrstvu zabezpečenia tým, že vyžaduje, aby používatelia poskytli okrem hesla aj druhú formu autentifikácie (napr. Kód z mobilnej aplikácie, odtlačok prsta). To výrazne znižuje vplyv narušeného hesla.

* Manažéri hesiel: Podporujte používanie správcov hesiel, ktoré generujú a ukladajú silné a jedinečné heslá pre každú webovú stránku alebo službu.

* Detekcia monitorovania a porušenia hesla: Používajte služby, ktoré monitorujú kompromitované heslá v porušovaní údajov a upozorníte, ak boli ich poverenia vystavené.

* Authentication založené na riziku: Dynamicky upravujte bezpečnostné požiadavky na základe správania používateľa a kontextu pokusu o prihlásenie (napr. Umiestnenie, zariadenie).

* Zamerajte sa na vzdelávanie a školenie: Vzdelávajte používateľov o osvedčených postupoch zabezpečenia hesla, ako je výber silných hesiel, vyhýbanie sa opakovaniu hesla a rozpoznávanie pokusov o phishing.

* dlhšie passfrázy: Povzbudzujte používateľov, aby namiesto zložitých a krátkych hesiel vytvorili dlhé, nezabudnuteľné prístupové frázy.

* behaviorálna biometria: Analyzujte správanie používateľa (rýchlosť typu, pohyby myši) na detekciu anomálií, ktoré by mohli naznačovať ohrozený účet.

Na záver:

Platnosť hesla je bezpečnostná politika, ktorá núti používateľov pravidelne meniť svoje heslá. Aj keď sa zameriava na zníženie rizika ohrozených hesiel, má nevýhody a čoraz viac sa nahradzuje alebo doplní silnejšími bezpečnostnými opatreniami, ako sú MFA, správcovia hesiel a zlepšené vzdelávanie používateľov. Najlepší prístup závisí od konkrétnych potrieb a rizikového profilu organizácie.

• Predchádzajúca strana: Čo je to raz, čo je token hesla? 
• Ďalšia strana: Čo je neisté heslo?