Hat jemand Ressourcen für die Festlegung einer angemessenen Kennwortrichtlinie für meine Benutzer? Mein persönliches Anliegen ist es, die Komplexität von Passwörtern zu verbessern und sie weniger häufig ändern zu lassen, als eine Art Kompromiss. Es scheint, dass mein durchschnittlicher Benutzer eine höhere Toleranz für das Einmischen einiger Zahlen und Sonderzeichen hat als vor 5 oder 10 Jahren.
Ich suche nach Faustregeln und / oder Ressourcen, mit denen ich meine vorgeschlagenen Richtlinienänderungen sichern kann. Oder sogar anekdotische Informationen von denen mit mehr Erfahrung.
(Ich bin weit davon entfernt, ein Sicherheitsguru zu sein. Wenn dies nur zu vage ist, beschränken wir die Frage auf interne Windows-Netzwerkkennwörter, obwohl ich daran interessiert bin, was die Leute in Bezug auf VPN und Web tun Servicerichtlinie)
Antworten:
In der heutigen Welt der zufälligen Brute-Force-Passwortangriffe stimme ich der Aussage eher zu: Ein gutes, aufgeschriebenes Passwort ist besser als ein auswendig gelerntes, leicht zu erratendes Passwort
quelle
Hier ist ein guter Vergleich der Passwortstärke:
http://www.lockdown.co.uk/?pg=combi
quelle
Sie tun das Richtige, wenn Sie sich überlegen, mit was Ihre Benutzer arbeiten möchten. Wenn Sie hochkomplexe Passwörter erzwingen, die sich häufig ändern müssen, steigt der Verbrauch Ihrer Post-It-Notizen sprunghaft an.
quelle
Gene Spafford von Purdues CERIAS liefert einen sinnvollen Beitrag zu diesem Thema . Hier ist ein teilweises Zitat:
quelle
Ich bin viel mehr für ein längeres Passwort (was realistischerweise bedeutet, dass Sie sich an mehrere Wörter erinnern müssen), anstatt Wörter und Zahlen zu mischen. Wenn Sie Leute dazu zwingen, Zahlen hinzuzufügen, tun sie eher einfache Dinge wie das Ersetzen von i durch 1 usw., was Ihnen nicht sehr viel Sicherheit bringt.
http://www.iusmentis.com/security/passphrasefaq/
quelle
Es gibt Unmengen an Material in den Passwortrichtlinien. Ich empfehle einen Blick auf
Nun muss etwas über die Passwortsicherheit gesagt werden . Tatsache ist, dass schwer zu merkende Passwörter aufgeschrieben werden. Gleiches gilt für Passwörter, die zu oft geändert werden müssen. Unterm Strich kommt es darauf an, was Sie schützen und wie Ihre Nutzerbasis ist.
quelle
Die Richtlinie sollte widerspiegeln, wofür die Benutzer die Computer verwenden und wie sensibel die Benutzer mit diesen Informationen umgehen. Wenn es nur um die Präferenzen der Benutzer geht, muss es nicht wirklich stark verstärkt werden, wenn alles andere vorhanden ist, um Angriffe abzuwehren. Wenn das Gegenteil der Fall ist, hätte ich eher genervte Benutzer, die über komplexe Passwörter stöhnten, um sich zu erinnern.
Ich habe zu jeder Zeit etwa 20 komplexe Passwörter im Kopf, und ich habe begonnen, sie mithilfe von Mustern auf der Tastatur zu erstellen, um sie zu merken. Das macht es einfacher, da ich nur den Ausgangspunkt und das zu erstellende Muster kennen muss. Jeder hasst es, Passwörter zu ändern, aber diese Technik ermöglicht es mir, sie leicht zu ändern und sich zu merken, so dass die Sicherheit für mich zumindest eng ist. Ich kann sogar einen Buchstaben auf ein Blatt Papier schreiben und mich immer noch daran erinnern, welches Muster ich machen soll, und ich kann mich nicht wirklich gut an die Dinge erinnern. Ob dies jedoch für irgendjemanden von Nutzen ist, weiß ich nicht.
Ein komplexes Passwort aufzuschreiben, ohne es zu verschleiern, erscheint mir einfach falsch. Wenn jemand versucht, physisch in einen Computer einzudringen, können Sie sicher sein, dass er nach einer verräterischen Geschichte sucht.
quelle
Ich glaube, als ich für eine Gesundheitseinrichtung arbeitete, kamen einige unserer Anforderungen von der HIPAA. Ich habe mir die SOX-Regs nicht angesehen (an die ich mich in der Versicherungsbranche jetzt wohl gehalten habe), aber sie haben möglicherweise eine ähnliche Sprache als Grundlage für diese Art von Dingen.
Wenn Sie Teil einer größeren IT-Organisation sind (Unterabteilung in einem größeren Unternehmen), verfügt das Unternehmen möglicherweise über Regeln, die eingehalten werden können.
Das Fazit muss sein, dass, unabhängig davon, welche Richtlinie implementiert wird, diese von der Geschäftsleitung gesegnet und vorzugsweise in einer Sicherheits- oder IT-Richtlinie festgehalten wird, auf die alle Mitarbeiter aufmerksam gemacht werden müssen. Es muss nicht drakonisch sein (Passwort alle 180 Tage ändern, Kombination aus Alpha und Zahlen), aber es sollte eine Unternehmensrichtlinie sein, damit jeder die Anforderungen genau kennt.
quelle
Einige gute Vorschläge, also füge ich einfach Folgendes hinzu:
Solange Sie sicherstellen können, dass Sie von der Richtlinie ausgenommen sind ... Ich habe ein gutes Gedächtnis. Ich persönlich bevorzuge es, ein aus 18 Zeichen bestehendes Kennwort zu verwenden, das für 6 Monate oder länger als a lächerlich komplex ist Einfaches, das ich einmal im Monat wechseln muss.
Beachten Sie, dass ein 16-stelliges Kennwort, das nur Klein- und Großbuchstaben und Leerzeichen verwendet, 53 ^ 16 Kombinationen oder 3,876 * 10 ^ 27 ergibt, während ein 10-stelliges Kennwort, das Klein- und Großbuchstaben, Zahlen und Symbole verwendet, nur 95 ^ 10 oder 5,987 ergibt * 10 ^ 19.
quelle