La razón real por la que tales políticas están implementadas es porque están implementadas de forma predeterminada . Así es como van las cosas en Active Directory:
- Las contraseñas caducan después de 42 días.
- Al cambiar su contraseña, el usuario (no administrador) no puede reutilizar una de sus 24 contraseñas anteriores.
- El usuario no puede cambiar su contraseña dos veces dentro del mismo marco de 24 horas.
Por lo tanto, encontrará muchas cosas así, principalmente porque requeriría esfuerzos y comprensión para configurarlas de otra manera. La mayoría de las personas pasan por su vida en un estado de feliz ignorancia y pereza, y los administradores de sistemas no son una excepción.
Cuando se necesita una justificación para la tercera propiedad (24 horas entre cambios de contraseña), la razón citada a menudo es lo que dice @bobince: para evitar que un usuario sarcástico recorra 23 contraseñas falsas para volver a su contraseña inicial, porque eso contradeciría la primera regla (sin reutilización de contraseña).
Por supuesto, tales reglas no impedirán que los usuarios usen "contraseñas de secuencia": Password37, Password38, Password39 ... que de alguna manera anula el propósito de forzar la caducidad de la contraseña (propósito que ya tiene un valor muy dudoso). Y evitar que el usuario cambie su contraseña con la frecuencia que desee también significa que el usuario no puede cambiar su contraseña con la frecuencia que necesita : si el usuario nota un shoulder surfer que acaba de robar su contraseña, un usuario consciente de la seguridad quisiera cambiar rápidamente su propia contraseña, que sería, en ese caso, una muy buena idea. La regla contra el cambio de contraseña puede impedir eso.