Estoy bastante confundido acerca de cuál es el estado actual en 2017 para la idea de caducidad / rotación de la contraseña, especialmente relacionada con las certificaciones de seguridad como ISO, PCI, etc. Sigo leyendo que la caducidad de la contraseña no es muy útil , pero he encontrado varias diapositivas donde Todavía parece ser parte de las políticas / reglas (para ISO y PCI).
Hay una parte específica que me parece poco natural, y esto es (asumiendo que tiene una política de contraseña segura, que ya tenemos) la necesidad de almacenar los hashes de contraseña antiguos en su base de datos para evitar que los usuarios desde establecer una contraseña antigua cuando la actual caduca.
Siempre he asumido (erróneamente) que la caducidad se acercaba al problema utilizando un ángulo social, una forma de decirle a los usuarios que las contraseñas eran importantes. Por lo tanto, la nueva contraseña tenía que ser diferente de la actual, pero sin verificar históricamente los registros anteriores.
Tuve la intuición de que esto no era seguro, pero parece que las grandes corporaciones lo utilizan para proporcionar sugerencias de UI (aunque creo que es justo suponer que estas organizaciones pueden tener un mejor control de sus copias de seguridad que las pequeñas empresas, donde es más probable que se cometan errores). p>
He leído un artículo en el que parece que NIST ya no impondrá la caducidad de la contraseña. De todos modos, ahora que mi sistema tendrá la caducidad de la contraseña debido a los requisitos, pensé que tendría sentido unir, en cierta medida, los requisitos presentes en estas certificaciones.
-
¿Cuál es el estado de caducidad / rotación de la contraseña en estas certificaciones (ISO, PCI, etc.) en 2017? ¿Sigue siendo parte de ellos?
-
¿Destinan / mencionan un número / período de contraseñas antiguas que tienes que almacenar?
No tengo acceso a ninguna documentación original, ya que no estamos en ningún proceso de adopción, pero sería bueno saberlo incluso en términos generales.