Да ли кориснике треба приморати да редовно ресетују своје лозинке?

Један од уобичајених савета за безбедност налога је да корисници треба редовно да мењају своје лозинке. Образложење иза овог приступа је да се минимизира дужина времена за које је било која лозинка важећа, у случају да икада буде угрожена. Цела ова стратегија заснована је на историјским саветима врхунских група за сајбер безбедност као што је амерички НИСТ или Национални институт за стандарде и технологију.

Деценијама су владе и компаније следиле овај савет и приморавале своје кориснике да редовно ресетују лозинке, обично сваких 90 дана. Током времена, међутим, истраживање је показало да овај приступ не функционише како је планирано и 2017. године НИСТ је заједно са британским НЦСЦ-ом , или Националним центром за сајбер безбедност, променио своје савете да захтевају промену лозинке само када постоји разумна сумња на компромис.

Зашто је савет промењен?

Савет да се редовно мењају лозинке првобитно је примењен како би се повећала безбедност. Из чисто логичке перспективе, савет да редовно освежавате лозинке има смисла. Искуство у стварном свету је ипак мало другачије. Истраживање је показало да је приморавање корисника да редовно мењају своје лозинке значајно повећало вероватноћу да почну да користе сличну лозинку коју би могли само да повећају. На пример, уместо да бирају лозинке попут „9Л=Кск&2>“, корисници би уместо тога користили лозинке попут „Пролеће2019!“.

Испоставило се да, када су приморани да смисле и запамте више лозинки и да их затим редовно мењају, људи доследно користе несигурније лозинке које се лако памте. Проблем са инкременталним лозинкама као што је „Пролеће 2019!“ је да их је лако погодити, а затим олакшавају предвиђање будућих промена. Комбиновано ово значи да присилно ресетовање лозинке гура кориснике да изаберу лакше за памћење, а самим тим и слабије лозинке, које обично активно поткопавају намеравану корист од смањења будућег ризика.

На пример, у најгорем случају, хакер би могао да угрози лозинку „Пролеће 2019!“ у року од неколико месеци од његовог важења. У овом тренутку, они могу да испробају варијанте са „Јесен“ уместо „Пролеће“ и вероватно ће добити приступ. Ако компанија открије овај безбедносни пропуст, а затим примора кориснике да промене своје лозинке, прилично је вероватно да ће погођени корисник само променити своју лозинку у „Винтер2019!“ и мисле да су безбедни. Хакер, који зна образац, може то покушати ако поново добије приступ. У зависности од тога колико дуго се корисник придржава овог обрасца, нападач би могао да га користи за приступ током више година, све док се корисник осећа безбедно јер редовно мења своју лозинку.

Који је нови савет?

Како би се подстакли корисници да избегавају формуличне лозинке, савет је да се лозинке ресетују само када постоји основана сумња да су компромитоване. Не присиљавајући кориснике да редовно памте нову лозинку, већа је вероватноћа да ће прво изабрати јаку лозинку.

У комбинацији са овим су бројне друге препоруке које имају за циљ да подстакну стварање јачих лозинки. То укључује осигурање да све лозинке имају најмање осам знакова у апсолутном минимуму и да максимални број знакова буде најмање 64 знака. Такође је препоручио да компаније почну да се удаљавају од правила сложености ка коришћењу листа блокираних користећи речнике слабих лозинки као што је „ЦхангеМе!“ и „Лозинка1“ који испуњавају многе захтеве сложености.

Заједница сајбер безбедности се готово једногласно слаже да лозинке не би требало аутоматски истећи.

Напомена: Нажалост, у неким сценаријима, можда ће то и даље бити неопходно, јер неке владе тек треба да промене законе који захтевају истек лозинке за осетљиве или поверљиве системе.