कई आईटी प्रणालियों में समय-समय पर पासवर्ड बदलने के लिए एक अनिवार्य नियम होता है। यह शायद सुरक्षा प्रणालियों से सबसे अधिक नफरत और सबसे बेकार आवश्यकता है। एक जीवन हैक के रूप में कुछ उपयोगकर्ता बस अंत में संख्या बदलते हैं।

इस प्रथा के कारण बहुत असुविधा हुई। हालांकि, लोगों को सहना पड़ा, क्योंकि यह सुरक्षा के लिए है । अब यह सलाह पूरी तरह से अप्रासंगिक है। मई 2019 में, यहां तक ​​कि Microsoft ने विंडोज 10 के व्यक्तिगत और सर्वर संस्करणों के लिए सुरक्षा की आवश्यकताओं के बुनियादी स्तर से पासवर्ड को समय-समय पर बदलने की आवश्यकता को समाप्त कर दिया: यहां विंडोज 10 वी 1903 में बदलावों को सूचीबद्ध करने वाला एक आधिकारिक ब्लॉग विवरण है (वाक्यांश को पासवर्ड को छोड़ दें) -सक्रियता नीतियाँ जिन्हें आवधिक पासवर्ड परिवर्तन की आवश्यकता होती है )। Microsoft सुरक्षा अनुपालन टूलकिट 1.0 में विंडोज 10 वर्जन 1903 और विंडोज सर्वर 2019 सिक्योरिटी बेसलाइन के नियम और सिस्टम नीतियां स्वयं शामिल हैं।

आप अपने वरिष्ठों को ये दस्तावेज़ दिखा सकते हैं और कह सकते हैं: समय बदल गया है। अनिवार्य पासवर्ड परिवर्तन - पुरातनता, अब लगभग आधिकारिक तौर पर। यहां तक ​​कि एक सुरक्षा ऑडिट भी इस आवश्यकता को सत्यापित नहीं करेगा (यदि यह विंडोज कंप्यूटर की बुनियादी सुरक्षा के लिए आधिकारिक नियमों पर केंद्रित है)।


विंडोज 10 v1809 के लिए बुनियादी सुरक्षा नीतियों के साथ सूची का एक स्निपेट और 1903 में परिवर्तन, जहां संबंधित पासवर्ड समाप्ति नीतियां अब लागू होती हैं। वैसे, नए संस्करण में, व्यवस्थापक और अतिथि खाते भी डिफ़ॉल्ट रूप से रद्द हो जाते हैं।

Microsoft ने ब्लॉग पर लोकप्रिय रूप से समझाया कि उसने अनिवार्य पासवर्ड परिवर्तन के नियम को क्यों छोड़ दिया: "पासवर्ड की आवधिक समाप्ति केवल इस संभावना से सुरक्षा है कि पासवर्ड (या हैश) इसकी वैधता अवधि के दौरान चोरी हो जाएगा और इसका उपयोग अनधिकृत व्यक्ति द्वारा किया जाएगा। यदि पासवर्ड चोरी नहीं हुआ है, तो इसे बदलने का कोई मतलब नहीं है। और अगर आपके पास सबूत है कि पासवर्ड चोरी हो गया है, तो आप स्पष्ट रूप से तुरंत कार्य करना चाहते हैं और समस्या को ठीक करने के लिए समाप्ति तिथि का इंतजार नहीं करना चाहिए। ”

Microsoft आगे बताता है कि आधुनिक परिस्थितियों में इस पद्धति का उपयोग करके अपने आप को पासवर्ड की चोरी से बचाना गलत है: “अगर यह ज्ञात हो कि पासवर्ड चोरी होने की संभावना है, तो चोर को इस चोरी हुए पासवर्ड का उपयोग करने की अनुमति देने के लिए कितने दिनों की स्वीकार्य अवधि है? डिफ़ॉल्ट मान 42 दिन है। क्या यह लंबे समय तक हास्यास्पद नहीं लगता है? वास्तव में, यह एक बहुत लंबा समय है, और अभी तक हमारी वर्तमान आधार रेखा 60 दिन - और इससे पहले 90 दिनों तक निर्धारित की गई है - क्योंकि लगातार समाप्ति मजबूर करना अपनी समस्याओं का परिचय देता है। और यदि पासवर्ड जरूरी चोरी नहीं हुआ है, तो आपको बिना किसी लाभ के ये समस्याएं मिलती हैं। इसके अलावा, यदि आपके उपयोगकर्ता कैंडी के लिए पासवर्ड का आदान-प्रदान करने के इच्छुक हैं, तो कोई भी पासवर्ड समाप्ति नीति मदद नहीं करेगी। ”

विकल्प

Microsoft लिखता है कि इसकी बुनियादी सुरक्षा नीतियां अच्छी तरह से प्रबंधित, सुरक्षा-सचेत उद्यमों द्वारा उपयोग के लिए डिज़ाइन की गई हैं। उन्हें ऑडिटरों को मार्गदर्शन प्रदान करने के लिए भी कहा जाता है। यदि इस तरह के एक संगठन ने निषिद्ध पासवर्ड, बहु-कारक प्रमाणीकरण, क्रूर बल पासवर्ड के साथ हमलों का पता लगाने और सिस्टम में प्रवेश करने के असामान्य प्रयासों का पता लगाने के लिए लागू किया है, तो क्या पासवर्ड की आवधिक समाप्ति की आवश्यकता है? और अगर उन्होंने आधुनिक सुरक्षा सुविधाओं को लागू नहीं किया है, तो क्या पासवर्ड की समाप्ति उनकी मदद करेगी?

माइक्रोसॉफ्ट का तर्क आश्चर्यजनक रूप से आश्वस्त करने वाला है। हमारे पास दो विकल्प हैं:

1. कंपनी ने आधुनिक सुरक्षा उपायों को लागू किया है।
   
2. कंपनी ने आधुनिक सुरक्षा उपायों को लागू नहीं किया है।

पहले मामले में, आवधिक पासवर्ड परिवर्तन अतिरिक्त लाभ प्रदान नहीं करते हैं।

दूसरे मामले में, एक आवधिक पासवर्ड परिवर्तन बेकार है।

इस प्रकार, पासवर्ड की समाप्ति के बजाय, उपयोग करने के लिए आवश्यक है, सबसे पहले, मल्टीफॉर्मर प्रमाणीकरण । अतिरिक्त सुरक्षा उपायों को ऊपर सूचीबद्ध किया गया है: निषिद्ध पासवर्ड सूची, जानवर बल का पता लगाने और अन्य असामान्य लॉगिन प्रयास।

" समय-समय पर पासवर्ड की समाप्ति एक प्राचीन और पुराना सुरक्षा उपाय है ," माइक्रोसॉफ्ट ने कहा, "और हमें नहीं लगता कि हमारे बुनियादी सुरक्षा स्तर के लिए किसी विशिष्ट मूल्य का उपयोग किया जाना चाहिए। हमारे आधार स्तर से इसे हटाकर, संगठन हमारी सिफारिशों का खंडन किए बिना अपनी इच्छित जरूरतों के हिसाब से चुन सकते हैं। ”

निष्कर्ष

यदि कोई कंपनी आज उपयोगकर्ताओं को समय-समय पर पासवर्ड बदलने के लिए मजबूर करती है, तो एक बाहरी पर्यवेक्षक क्या सोच सकता है?

1. दिया गया: कंपनी एक पुरातन रक्षा तंत्र का उपयोग करती है।
   
2. अनुमान: कंपनी ने आधुनिक रक्षा तंत्र लागू नहीं किया है।
   
3. निष्कर्ष: इन पासवर्ड को प्राप्त करना और उपयोग करना आसान है।

यह पता चला है कि पासवर्ड का आवधिक परिवर्तन कंपनी को हमलों के लिए अधिक आकर्षक लक्ष्य बनाता है।

---