¿Existe una razón de seguridad para que un sitio limite la cantidad de veces que un usuario puede cambiar su contraseña?

34

¿Hay alguna razón de seguridad para no permitir que un usuario cambie su contraseña con la frecuencia que desee? He encontrado esta política de seguridad en un sitio y no estoy seguro de por qué la está aplicando.

Una razón que puedo imaginar es que la función de cambio de contraseña es un 'procedimiento costoso', y cambiarla varias veces seguidas puede provocar un DoS en el sitio o generar demasiado tráfico en el servidor de correo que envía un correo electrónico a cada uno. hora en que se cambia una contraseña.

¿Alguna otra razón?

Nota: he encontrado una pregunta similar aquí: ¿Existe alguna razón concebible para evitar un cambio de contraseña en un sistema de autenticación?

    
pregunta kinunt 10.07.2013 - 08:17
fuente

3 respuestas

37

La razón real por la que tales políticas están implementadas es porque están implementadas de forma predeterminada . Así es como van las cosas en Active Directory:

  • Las contraseñas caducan después de 42 días.
  • Al cambiar su contraseña, el usuario (no administrador) no puede reutilizar una de sus 24 contraseñas anteriores.
  • El usuario no puede cambiar su contraseña dos veces dentro del mismo marco de 24 horas.

Por lo tanto, encontrará muchas cosas así, principalmente porque requeriría esfuerzos y comprensión para configurarlas de otra manera. La mayoría de las personas pasan por su vida en un estado de feliz ignorancia y pereza, y los administradores de sistemas no son una excepción.

Cuando se necesita una justificación para la tercera propiedad (24 horas entre cambios de contraseña), la razón citada a menudo es lo que dice @bobince: para evitar que un usuario sarcástico recorra 23 contraseñas falsas para volver a su contraseña inicial, porque eso contradeciría la primera regla (sin reutilización de contraseña).

Por supuesto, tales reglas no impedirán que los usuarios usen "contraseñas de secuencia": Password37, Password38, Password39 ... que de alguna manera anula el propósito de forzar la caducidad de la contraseña (propósito que ya tiene un valor muy dudoso). Y evitar que el usuario cambie su contraseña con la frecuencia que desee también significa que el usuario no puede cambiar su contraseña con la frecuencia que necesita : si el usuario nota un shoulder surfer que acaba de robar su contraseña, un usuario consciente de la seguridad quisiera cambiar rápidamente su propia contraseña, que sería, en ese caso, una muy buena idea. La regla contra el cambio de contraseña puede impedir eso.

    
respondido por el Tom Leek 10.07.2013 - 13:18
fuente
28

Normalmente se usa en combinación con una política de historial de contraseñas, por ejemplo, "no puedes reutilizar ninguna de tus últimas 12 contraseñas". Sin un período de cambio mínimo, sería posible eludirlo cambiando su contraseña 12 veces seguidas, para volver al original.

Es IMO de valor bastante dudoso.

    
respondido por el bobince 10.07.2013 - 09:38
fuente
10

No, no creo que haya ninguna razón de seguridad razonable para tener un límite en el número de cambios de contraseña. El único límite que debe aplicarse es parte de un límite general en operaciones costosas para frenar los intentos DoS, como "no hay cambios de contraseña más de una vez cada 5 segundos * ', o' ningún intento de inicio de sesión más de una vez cada 10 segundos * '.

Sin embargo, se me ocurre una excepción: a veces, cambiar la contraseña es realmente costoso. Por ejemplo, cuando se cifran grandes cantidades de datos con una clave derivada de la contraseña del usuario. Cuando la contraseña cambia, los datos deben cifrarse con la nueva contraseña y los archivos cifrados antiguos deben eliminarse y luego propagarse a través de copias de seguridad, etc. Incluso entonces, no es una buena idea tener un límite muy restrictivo porque no sabes cuándo se puede comprometer la contraseña de tu usuario.

* Los números son arbitrarios.

    
respondido por el Adi 10.07.2013 - 10:51
fuente

Lea otras preguntas en las etiquetas