¿Existe algún beneficio real de seguridad para los intervalos de cambio de contraseña forzados? [duplicar]

0

Esta pregunta es bastante básica, pero me molesta y estoy seguro de que también afecta a muchas otras personas.

¿Cuál es el beneficio de seguridad real para forzar a los usuarios a cambiar su contraseña, por ejemplo cada 60 días o cada 90 días?

Beneficios

  • Las credenciales comprometidas son inútiles después de un corto período de tiempo.

Drawbacks

  • El usuario recurre a esquemas de incremento de contraseña fáciles de recordar: password1 , password2 , passwordN .
  • El usuario está obligado a exponer contraseñas en otros medios para recuperarlas: post-it , otros dispositivos, etc.
  • El usuario debe hacer referencia a las contraseñas expuestas que aumentan los vectores para el ataque, en comparación con una contraseña recuperada de la memoria.

Parece que hay más inconvenientes que beneficios, ¿por qué es tan frecuente esta práctica de seguridad?

Actualización del artículo de la FTC que comparte algunas de mis preocupaciones:

  

Los investigadores de Carleton también señalan que un atacante que ya   sabe que es poco probable que la contraseña de un usuario se vea frustrada por una contraseña   cambio. Como demostraron los investigadores de la UNC, una vez que un atacante conoce una   contraseña, a menudo son capaces de adivinar la siguiente contraseña del usuario bastante   fácilmente. Además, un atacante que haya obtenido acceso a un usuario   Una vez, la cuenta puede ser capaz de instalar un registrador de claves u otro malware que   les permitirá continuar accediendo al sistema, incluso si el usuario   cambia su contraseña.

Del mismo modo, comparten la misma hipótesis.

  

Si bien aún no tenemos un estudio controlado que demuestre el impacto de las políticas de caducidad de las contraseñas en el comportamiento de los usuarios, existe bastante evidencia que sugiere que estas políticas pueden ser contraproducentes.

Enlace: Es hora de repensar los cambios de contraseña obligatorios

    
pregunta James 15.05.2017 - 16:22
fuente

2 respuestas

3

Suponiendo que la función de hash se seleccionó correctamente, debería tomar más de 60 días descifrar una contraseña que sigue las políticas de contraseña seleccionadas correctamente.

Por lo tanto, si un actor malintencionado tiene acceso de lectura permanente a su base de datos de credenciales, ya que solo tendrían acceso a los hashes, y como los hashes cambiarían antes de que se descifrara una contraseña, las contraseñas seguirían siendo seguras.

    
respondido por el niilzon 15.05.2017 - 16:25
fuente
1

El único beneficio es que la ventana de uso de una credencial robada es a lo sumo el período de tiempo en que la credencial es válida. por lo que incluso los ataques lentos tendrán poca o ninguna ventana de oportunidad para trabajar. Esto es muy útil para configuraciones / usuarios de alta seguridad con permisos elevados (por ejemplo, administradores) ya que especifica claramente que puede reducir la seguridad para muchos usuarios debido a prácticas de seguridad deficientes (como post-it con contraseñas en pantallas / contraseñas secuenciales / etc. .)

La mayoría de las veces, desde el punto de vista de la seguridad, es mucho mejor implementar un SSO que proporcione al programa un token con valor limitado (con límite de tiempo) y hacer que el usuario inicie sesión en el SSO con un nombre de usuario / contraseña / segundo factor válido más largo para prevenir el abuso

Todo esto supone que tiene estrategias de copia de seguridad adecuadas y las copias de seguridad simplemente no contienen información de contraseña.

Como siempre, existe un beneficio al cambiar regularmente su contraseña para evitar todo tipo de abuso. Si los 90 días son buenos es un asunto local.

    
respondido por el LvB 15.05.2017 - 16:31
fuente

Lea otras preguntas en las etiquetas