Skal brugere tvinges til at nulstille deres adgangskoder regelmæssigt?

Et af de almindelige råd om kontosikkerhed er, at brugere bør ændre deres adgangskoder regelmæssigt. Begrundelsen bag denne tilgang er at minimere den tid, som enhver adgangskode er gyldig i, i tilfælde af at den nogensinde bliver kompromitteret. Hele denne strategi er baseret på historisk rådgivning fra top cybersikkerhedsgrupper såsom det amerikanske NIST eller National Institute of Standards and Technology.

I årtier fulgte regeringer og virksomheder dette råd og tvang deres brugere til regelmæssigt at nulstille adgangskoder, typisk hver 90. dag. Over tid viste forskning dog, at denne tilgang ikke virkede efter hensigten, og i 2017 ændrede NIST sammen med Storbritanniens NCSC eller National Cyber ​​Security Centre deres råd til kun at kræve adgangskodeændringer, når der er rimelig mistanke om kompromittering.

Hvorfor blev rådet ændret?

Rådene om regelmæssigt at ændre adgangskoder blev oprindeligt implementeret for at hjælpe med at øge sikkerheden. Fra et rent logisk perspektiv giver rådet om regelmæssigt at opdatere adgangskoder fornuftigt. Den virkelige oplevelse er dog lidt anderledes. Forskning viste, at det at tvinge brugere til regelmæssigt at ændre deres adgangskoder gjorde dem betydeligt mere tilbøjelige til at begynde at bruge en lignende adgangskode, som de bare kunne øge. For eksempel, i stedet for at vælge adgangskoder som "9L=Xk&2>" ville brugere i stedet bruge adgangskoder som "Forår2019!".

Det viser sig, at når folk bliver tvunget til at finde på og huske flere adgangskoder og derefter regelmæssigt ændre dem, bruger folk konsekvent let at huske adgangskoder, der er mere usikre. Problemet med inkrementelle adgangskoder som "Forår2019!" er, at de er let at gætte og så gør det nemt at forudsige fremtidige ændringer også. Kombineret betyder dette, at tvinger til nulstilling af adgangskoder skubber brugerne til at vælge lettere at huske og dermed svagere adgangskoder, som typisk aktivt underminerer den tilsigtede fordel ved at reducere fremtidig risiko.

For eksempel kan en hacker i værste tilfælde kompromittere adgangskoden "Spring2019!" inden for et par måneder efter den er gyldig. På dette tidspunkt kan de prøve varianter med "Efterår" i stedet for "Forår", og de vil sandsynligvis få adgang. Hvis virksomheden opdager dette sikkerhedsbrud og derefter tvinger brugerne til at ændre deres adgangskoder, er det ret sandsynligt, at den berørte bruger bare vil ændre deres adgangskode til "Winter2019!" og tror, ​​at de er sikre. Hackeren, der kender mønsteret, kan godt prøve dette, hvis de er i stand til at få adgang igen. Afhængigt af hvor længe en bruger holder fast i dette mønster, kan en angriber bruge dette til adgang over flere år, alt imens brugeren føler sig sikker, fordi de regelmæssigt ændrer deres adgangskode.

Hvad er det nye råd?

For at hjælpe med at tilskynde brugere til at undgå formel-adgangskoder, er rådet nu kun at nulstille adgangskoder, når der er en rimelig mistanke om, at de er blevet kompromitteret. Ved ikke at tvinge brugere til regelmæssigt at huske en ny adgangskode, er der større sandsynlighed for, at de vælger en stærk adgangskode i første omgang.

Kombineret med dette er en række andre anbefalinger, der har til formål at tilskynde til oprettelse af stærkere adgangskoder. Disse omfatter at sikre, at alle adgangskoder er mindst otte tegn lange som et absolut minimum, og at det maksimale antal tegn er mindst 64 tegn. Det anbefalede også, at virksomheder begyndte at bevæge sig væk fra kompleksitetsregler mod brugen af ​​blokeringslister ved hjælp af ordbøger med svage adgangskoder såsom "ChangeMe!" og "Password1", som opfylder mange kompleksitetskrav.

Cybersikkerhedssamfundet er næsten enstemmigt enige om, at adgangskoder ikke bør udløbe automatisk.

Bemærk: I nogle scenarier kan det desværre stadig være nødvendigt at gøre det, da nogle regeringer endnu ikke har ændret love, der kræver adgangskodeudløb for følsomme eller klassificerede systemer.