Citas por desaconsejamiento de una contraseña global única

Question

Citas por desaconsejamiento de una contraseña global única

#1 de rox0r (6 votos)
#2 de user502 (1 votos)
#3 de random65537 (1 votos)
#4 de rox0r (1 votos)
#5 de Thomas Pornin (1 votos)

9

Estoy buscando una fuente autorizada para respaldar mi posición en un desacuerdo sobre la política de contraseñas.

Estoy teniendo un desacuerdo con un cliente sobre el proceso de identificación / autenticación de usuario para un sistema. El problema es que quieren que cada usuario tenga una contraseña única a nivel mundial (es decir, no hay dos usuarios que puedan tener la misma contraseña). He eliminado todos los argumentos obvios contra esto (es una vulnerabilidad de seguridad, confunde la identificación con la autenticación, no tiene sentido, etc.) pero insisten en que no hay nada de malo en este enfoque.

He hecho varias búsquedas en Google buscando opiniones autoritativas (o semi-autorizadas, o incluso independientes) sobre esto, pero no puedo encontrar ninguna (principalmente es tan obvio que no parece ser una advertencia). Contra, por lo que puedo decir). ¿Alguien puede indicarme una opinión independiente, por favor?

He encontrado un artículo diario de WTF , pero (aparte de ser demasiado cómico para ser autoritario), sufre del problema que mencioné anteriormente: la inconveniencia de este enfoque es tan evidente que no vale la pena explicar por qué.

Para aclarar, entiendo los problemas e incluso puedo explicárselos al cliente, pero el cliente es reacio a aceptarlos, de ahí mi solicitud de fuentes independientes y / o autorizadas.

Cualquier puntero a fuentes independientes y / o autorizadas que confirmen que esta es una mala idea recibida con gratitud ...

passwords corporate-policy client-side

pregunta gkrogers 03.12.2010 - 19:26

fuente

5 respuestas

Lea otras preguntas en las etiquetas passwords corporate-policy client-side

Ataque de reproducción SSL cuando falta el cliente / servidor al azar Almacenar números de cuenta y códigos de clasificación en línea

score 6 · Answer 1

El artículo señala que el sistema filtra información: contraseñas de otras personas. Cada vez que rechaza su contraseña, sabe que alguien en el sistema tiene esa contraseña.

Tal vez pueda abordarlo desde el punto de vista de lo costoso que sería imponer tal situación, ya que solo almacena hashes salados (o lo que sea) y no su contraseña real.

¿Cómo puedes detectar si los usuarios comparten la misma contraseña? ¿Esto significa que estás almacenando la contraseña?

Creo que obtendrás mejores respuestas, pero debes tener más en cuenta los problemas de autenticación. Comience con el enlace de wikipedia y comprenda primero el problema básico. Realmente no creo que quieras manejar la contraseña real en tu base de datos central (AAA).

score 1 · Answer 2

rox0r hace una buena observación: una de las razones por la que no hay artículos autorizados que hablen sobre la inconveniencia de las contraseñas únicas a nivel mundial es que requieren combinaciones de otras cosas que están cubiertas por los artículos. Usted no almacena user passwords reversiblemente .

Sin almacenar contraseñas, no hay forma de saber si los nuevos usuarios las están duplicando, a menos que hagas algo difícil, como usar un filtro bloom , pero eso definitivamente agrega una complejidad injustificada y aumenta la superficie de ataque. Tratar de ser inteligente con la autenticación o el cifrado es una mala idea.

score 1 · Answer 3

¿Están hablando de asignar una contraseña única global a cada usuario, o asegurarse de que cuando un usuario cambia una contraseña, sea única?

Si al usuario se le permite cambiar su contraseña, la IU expondrá otras contraseñas en virtud del error que reciben. Obviamente, una cosa mala , y probablemente va en contra de sus objetivos de seguridad.

En una nota relacionada, pueden estar interesados en el cifrado RSA de dos factores con un token de hardware o software. El token genera una contraseña única que depende del tiempo, seguida de un código PIN. Esto juntos proporciona una contraseña única para cada usuario.

Si está utilizando Active Directory, o membresía en ASP.NET, no lo dude.

Si utiliza RSA, satisface la solicitud del cliente y aumenta la seguridad en el proceso. No puedo pensar en ninguna otra forma de enfocar esta solución que sea el momento ...

score 1 · Answer 4

Después de volver a leer tu pregunta, he decidido publicar una segunda respuesta:

pero insisten en que este enfoque no tiene nada de malo.

Esta es una bestia de un argumento y limita con un argumento religioso. ¿Hay alguna manera de falsificar su reclamo? Si no es así, abandona AHORA .

¿Qué significa "incorrecto" en este contexto? Casi todas las decisiones que involucran seguridad son una compensación. Podrían estar en lo correcto si su objetivo principal es asegurarse de que todos tengan una contraseña única.

Si su objetivo es la seguridad, la responsabilidad recae en ellos para mostrar cómo el sistema hace que el sistema se vuelva más seguro. Como mínimo, deben mostrar cómo no hace que el sistema sea menos seguro y justificar el costo de la implementación.

score 1 · Answer 5

Las contraseñas únicas a nivel mundial no son malas en sí mismas. Lo que puede perjudicar es cómo se mantiene esa propiedad. Hay dos formas principales de obtener contraseñas únicas a nivel mundial:

Suerte.
Al implementar algo que debilita el almacenamiento de contraseñas.

"La suerte" es segura: con alta probabilidad, los usuarios elegirán contraseñas distintas: la probabilidad de colisión aumenta cuando el espacio de las posibles contraseñas se reduce, es decir, cuando los usuarios eligen contraseñas débiles.

Cualquier otra cosa que garantice la unicidad de la contraseña no es segura, aunque solo sea porque rechazar una contraseña generada por el usuario implica informarle que la contraseña que acaba de elegir también es la contraseña de uno de sus colegas. Una implementación real también sería bastante ineficiente o evitaría el uso de sales; básicamente, si el sistema puede detectar eficientemente si una contraseña dada está en uso o no, entonces un atacante podría usarla para descifrar todas las contraseñas en paralelo. Es bastante inevitable.

Sin embargo, el cliente está siempre en lo correcto. Si insiste en hacer algo estúpido, no puede evitarlo; Él es el que paga, por lo que recibe la última palabra. Lo mejor que puedes hacer (y eso también es lo mínimo que puedes hacer) es escribir una nota formal advirtiéndole sobre los peligros de su enfoque. Esto se ajusta a su "deber de proporcionar asesoramiento" y lo protegerá legalmente cuando se produzca el hijinks.