密码更改日，Ensk办公室，重建，彩色如果本文没有在时空连续性上留下空白，那么在院子里就是2018年，在大多数大型组织中，密码仍然每30-90天更改一次。 哈勃（Habré）曾多次提出强制不变的密码更改只会降低安全性，而根本没有增加安全性这一事实（
1，2，3 ），但是在这种情况下，通常会讨论特殊情况，并在评论中用户积极分享他们的经验，他们如何保护自己的帐户。
一堆有条件的KeePass +令牌加上两因素身份验证的事实比每30-90天有条件的密码更改要可靠得多，这一事实无需解释即可理解。 但是，正如过去出版物中的一位评论员恰当地指出的那样，采取这种“有效”措施的主动性往往来自组织的最高层，而与首席执行官争辩而没有值得的论点则更为昂贵。 因此，我决定尝试以一种易于访问的方式进行扩展，在这种广泛且同时无效的实践中，这种方法的脚步不断增长，它们存在哪些替代方案以及与之相关联。 也许在读完一些高管的这篇文章之后，在个别公司工作会变得更好一些。
为什么定期更改密码会有危险？
密码本身是一种安全措施，并不是很容易破解。 这就是为什么现在市场上有两种或什至三项身份验证的手段，各种令牌，闪存驱动器和其他技巧的原因，这些手段可以增强边界并减少黑客入侵和获取机密数据或帐户的可能性。 据称，用于“加强”这一范围的宣传方法之一是定期更改用户密码，从理论上讲，该密码应防止由于数据库耗尽等引起的攻击。 所有这些建议首先都缺少标准化的效果，我几年前曾详细描述过。
简而言之：不断地强制更改密码会导致一个人开发出一个模板，不仅可以记住当前密码，而且还可以生成它，这是美国研究人员早在2010年就在一篇
科学论文中描述的。
用户不再无休止地记住“带有可变寄存器和特殊字符的强密码”，而是开始以陈旧或使用模式写下来。 而且，不可能为每位检查每个新密码唯一性的员工分配保护。
高管如何了解密码更改
如果您有点折磨搜索引擎，则可以找到很多有关信息安全的出版物，甚至是正式文件。 他们中有些人闻起来像樟脑丸，有些则清醒些，谈论黑客入侵期间“内部攻击”和社会工程的危险。 所有这些都由“定期密码更改”项组合在一起，该项通常以“不要忘记这种简单有效的方式”之类的词开头。
为了不打un，我将举几个例子说明国内文学（包括教育方面！）的知识，并建议文章定期使用密码更改：
这是CMD上有关信息安全2008版的屏幕截图。 在其中，作者承认密码的弱点是一种保护手段，并呼吁通过定期的强制更改和一些不太有用的措施（例如安全的数据传输通道）来保护信息安全。
该网络还为“经理和主管”提供了大量的付费研讨会和培训，以确保企业的信息安全。 如果我们脱离IT部门，并想象生产例如气体硅酸盐块或其他工业产品的企业的主管或所有者已经照顾了信息技术，那么他很可能会从开放源收集信息或参加“高级培训”研讨会之一。
我不会批评这样的事件，不。 当然，它也提供有关网络行为，访问权限限制，系统及时更新和管理的有用信息。 也许他们被教导制定规则，并基于在设施上创建“制度”来构建最简单的信息安全范围。 但是，可以肯定地说100％可以肯定的是，我们不受欢迎的口头禅“让员工每30天更改一次密码”在此类事件中会定期响起。
如果考虑一下，您可以得出一个简单的结论：毕竟，Windows管理工具允许这种策略。 实际上，公司网络中密码的定期更改是多年前由好心人制定的标准，该标准由于惯性而继续存在。 如果深入研究，您会发现定期更改密码不仅广泛用于开箱即用的Microsoft产品。 更改密码的做法已成功推广到其他产品，例如“ zoo”软件1C。 实际上，按照“安全”手册的指示，整个CIS的管理员至少已经强奸了他们本人以及会计/销售人员的大脑。
同时，敦促放弃定期更改密码和宣传组合不易记住的专家，这一年被成功忽略了。 例如，大约两年前
，新成立的英国国家网络安全中心负责人Martin Chiaran反对不断更改复杂密码。 他批评了不断更改密码的做法，以及针对不同服务使用复杂密码的提示，并将其与每月记住的600位数字进行了比较。 Chiaran认为，使用密码管理器或一个很难破解但可以记住的单个密码要安全得多。
是否有可能说服领导层？
要说服远离IT现代世界的领导者，定期更改密码是一种野蛮的游戏，方法并不多。
应该理解，这种做法之所以如此流行，有两个原因：
- 这给人一种错误的安全感，并为经理解决了员工工作站的“安全性”问题。
- 它相对较快且免费。
如果从各个方面，在新闻界，在研讨会等上，他们数十年来一直在说更改密码是一个好主意，那么它将被存储在头部的记忆中。 与第二点一起，当由于只需要困惑这位将在一天内完成所有工作的系统管理员这一事实而限制了以更改密码的形式部署“边界”的所有成本时，一切都会变得倍感愉快和轻松。
如果存在强制更改密码形式的免费替代方案，则任何中年公司经理都不会同意购买令牌或其他保护工作站的物理手段。 在这种情况下，明显的场景是：解释这种做法的失败并提出替代方案。
定期更改密码有什么危险：
- 密码开始写在纸上/日记上/监视器上的贴纸上；
- 密码是模板化的（在密码的开头或结尾更改了几个字符）；
- 密码简化得太多，即使字符限制最小也是如此。
您可以感觉到，定期更改密码所造成的所有主要威胁都与内部破坏信息安全和外围活动有关，也就是说，它们位于社会工程学的层面。 来自尼日利亚的远程黑客将永远不会监视写在纸上并隐藏在键盘下的密码。 但是，竞争对手的员工意外进入或从团队中抢劫-很容易。
确保内部边界安全的唯一真正替代方法是使用“一个站点-一个人”的原则，在线咨询和员工支持（以防因超时而阻塞工作站的情况），在网络内部建立访问策略并引入泄露/转移帐户密码的责任。 后者无论出于何种原因都可以与NDA员工和承包商签约，因此非常适合近年来的流行，因此，即使一次也没有理由。
以银行业为例
办公室内部大多数负责信息安全事务的领导者将员工视为公司的财产，也就是说，他们不需要支持。 但是，如果我们以银行结构中“服务客户端”形式的数据安全性示例来考虑内部边界的结构，那么一切将变得更加清晰。
想想看：一张银行卡的PIN码只有4个字符，但是没有人尖叫它“太短”并且容易破解。 不用客气，因为塑料卡的输入尝试次数受到限制，而且如果客户怀疑数据泄露（窃听器）或卡丢失，客户可以迅速将其卡住。 用户积极利用这些机会是因为他们对遵守安全措施感兴趣，并且知道他们将能够快速执行这些操作。
也就是说，如果您的管理层担心创建内部法规并确保公司的真实信息安全，那么有必要向其传达一个事实，即此时所有员工都将成为该组织IT服务的“客户”，这将为他们提供支持。 通常，此角色由系统管理员负责，他们已经确保了组织IT系统的平稳运行。 安全措施越严格，人员和基础设施的成本就越高。 但是出于某种原因，习惯上对此简单的事实保持沉默。
那我该怎么办？
我们需要向领导传达一个简单的想法：没有免费的信息安全，免费的您只能在这个方向上创造活动的外观。 在所有其他情况下，系统管理员人员的费用将增加（如果状态上存在差距，则停机时间将增加），这将快速响应用户问题，并能够建立一个有效的权限和访问系统，或者需要购买发行临时密码的令牌/通过它发生对系统的访问。
相对免费的替代方案只是主密码，用户可以记住该主密码，无权泄露+使用密码管理器访问公司的战略软件和数据库。
实际上，我们已经讨论了近十年了。
PS下面是针对上班族的民意调查。 自由职业者和远程工作者，请避免使用显而易见的原因。