¿Por qué un requisito de contraseña prohibiría un número en el último carácter?

Es probable que sea un esfuerzo para desalentar las contraseñas que se ajustan a formatos comunes o máscaras de caracteres. Si una política de contraseña requiere el uso de un número, muchas personas elegirán poner su número al final de una palabra o palabras. Aquí hay un par de ejemplos de entornos corporativos:

• Máscaras de contraseña superior de NetSPI para 2015
• Informe de seguridad global 2015 de Trustwave: máscaras de contraseña

A los atacantes les gusta este hábito de usuario porque hace que su contraseña híbrida rompa o adivine los ataques con más facilidad. Pueden centrarse en combinar listas de palabras con números agregados al final en lugar de un enfoque de fuerza bruta que consume más tiempo.

Por lo tanto, algunas organizaciones implementan una política como esta en un intento de mejorar la seguridad haciendo que los usuarios pongan sus números en un lugar menos previsible. Parece que, en su situación, no combinan esto con ninguna otra comprobación de complejidad y, en su lugar, rechazan todas las contraseñas que terminan en un número, independientemente de lo aleatorias que sean. Esa no es una muy buena manera de implementar este tipo de comprobación, pero no están solos en este enfoque.

Por experiencia, la regla Must not reuse previous 6 passwords puede hacer que los usuarios empleen un esquema de rotación de contraseñas en el que la contraseña actual pasa de something-that-fits-the-other-rules1 a something-that-fits-the-other-rules7 , para que sea más fácil para ellos mismos al obedecer la regla Must change password every 90 days que es Común en el uso corporativo.

Las herramientas de descifrado de contraseñas podrían usar el conocimiento de este hábito al diseñar contraseñas para adivinar.

La regla Must not contain number as the last character podría ser un intento de eludir dichos esquemas para obligar a los usuarios a elegir nuevas contraseñas que sean significativamente diferentes de las anteriores.

Porque los programadores piensan en programar computadoras y no en cómo operan las personas reales. Se encuentran donde pueden ejercer un poder arbitrario, por lo que lo hacen, mientras olvidan cuál es el problema real. En este caso, el problema es "hacer que el sistema sea seguro a pesar del comportamiento natural de las personas".

"Haga que las reglas para las contraseñas sean realmente complicadas; hágalas cambiarlas cada semana": casi garantiza que puede encontrar la contraseña en una nota Post-It pegada en el monitor.