El problema
Determinar el umbral de su política de contraseñas es bastante objetivo. Dependiendo de cómo esté configurada su autenticación, puede tener un número bajo de intentos incorrectos de inicio de sesión (1-3) dentro de un cierto período de tiempo y una mayor sobrecarga administrativa o un mayor número de intentos incorrectos de inicio de sesión con menos gastos administrativos.
Intentos de inicio de sesión incorrectos bajos
Considere el ejemplo donde un usuario solo tiene 1-3 intentos de inicio de sesión incorrectos y están bloqueados fuera del sistema. Esto minimiza la posibilidad de un ataque de contraseña exitoso y previene casi cualquier intento de fuerza bruta. Este umbral proporciona la mayor seguridad que puede lograr a través de malos intentos de inicio de sesión.
Solo unos pocos intentos de inicio de sesión incorrectos bloquearán al usuario y la cuenta deberá desbloquearse antes de otro intento de inicio de sesión. Esto facilita la realización de un DoS sobre usted mismo, su maestro, su jefe o su amigo.
Intentos de inicio de sesión incorrectos
Un número razonable de intentos incorrectos de inicio de sesión de más de 5 a 10 se considera alto. Si un usuario necesita 10 intentos antes de obtener la contraseña correcta, probablemente se deba a inicios de sesión poco frecuentes o simplemente no recuerdan su contraseña.
Con los intentos de inicio de sesión incorrectos más altos, hay una mayor probabilidad de éxito durante un ataque de contraseña. Si los usuarios escriben su contraseña correcta antes del umbral, entonces no hay gastos administrativos.
Sin intentos de inicio de sesión incorrectos
Esto generalmente se encuentra al iniciar sesión en un sistema local sin autenticación de red, como una PC doméstica. En la autenticación de red, este método requiere ser sometido a un ataque de contraseña.
Por supuesto, esto permitirá un número ilimitado de intentos de contraseña por parte de cualquiera .
Gastos generales administrativos
Las empresas y organizaciones tienen que pagar a las personas para que ayuden a desbloquear las cuentas de los clientes / empleados. La forma más común es mediante el uso de un sistema de restablecimiento de contraseña a través de correo electrónico. Cuesta dinero desarrollar, apoyar, integrar y mantener un sistema como este. Sin embargo, es bastante rentable para las otras alternativas.
Una mesa de ayuda ayudará a resolver cualquier problema que el sistema de correo electrónico no pueda. Si un usuario olvidó la contraseña de su sitio, ¡quizás también olvidó la contraseña de su contraseña de correo electrónico!
Debilidades
Las escuelas grandes, bancos, organizaciones pueden ser atacadas con un ataque de contraseña de diccionario. Cuando hay más cuentas, hay más posibilidades de un ataque exitoso. Y cuando puedes atacar una cuenta muchas veces antes de que sea bloqueada, tiene una mayor probabilidad de ser comprometida.
Si la escuela UCLA tiene 40,000 estudiantes, esperaría que algunas de las cuentas tengan contraseñas que incluyan "UCLA", "bruins", "college", así como contraseñas débiles.
Conclusión
Depende de los administradores, administradores, etc., elegir la política de contraseñas que se ajuste a su situación. Muchas cosas se incluirían en esta decisión y algunas son: el costo de la pérdida de datos, la sobrecarga administrativa, el costo de la seguridad, el costo del tiempo de inactividad potencial.