¿Cómo puede ser seguro esperar 24 horas para cambiar la contraseña?

Por sí misma, la regla de permitir solo un cambio de contraseña por día no agrega seguridad. Pero a menudo viene junto con otra regla que dice que la nueva contraseña debe ser diferente de las n (generalmente 2 o 3) anteriores.

La regla de un cambio por día es un intento de evitar esta perversión trivial:

• un usuario tiene que cambiar su contraseña porque ha alcanzado su límite de tiempo
• lo cambia a una nueva contraseña
• repite el cambio inmediatamente el número de contraseñas guardadas menos una
• lo cambia de inmediato al original = > hurra, sigue siendo la misma contraseña que es claramente lo que la primera regla intentaba evitar ...

Ok, la regla podría ser cambiar la contraseña varias veces en un solo día, no se muestra la última lista de contraseñas. Pero, desafortunadamente, el primero está integrado en muchos sistemas, mientras que el segundo no está ...

Dicho de otra manera, es solo un intento de obligar a los usuarios no cooperativos a cambiar su contraseña de manera oportuna.

Solo un análisis probabilístico trivial después de los comentarios que dicen que permitir que los usuarios nunca cambien su contraseña no es un problema de seguridad. Digamos que tiene un usuario bastante serio y que el riesgo de que su contraseña se vea comprometida en un día es del 1%. Suponiendo unos 20 días laborales al mes, el riesgo de verse comprometido en un trimestre es de alrededor del 50% (1- (1- 1/100) ^ 60)). ¡Y después de un año (200 días hábiles) alcanzamos el 87%! Ok, el 1% puede ser alto, y solo comenzar con 0.1% por día, solo uno en 1000, bastante insignificante, ¿no es así? Pero después de 1 año (200 días hábiles), el riesgo de comenzar a comprometerse es casi del 20% (18% para ser honesto). Si es la contraseña para las fotos de vacaciones, no me importaría, pero para algo más importante sí importa.

Significa que lo esencial es educar a los usuarios y hacer que acepten las reglas porque todos sabemos que las reglas se pueden pasar por alto fácilmente, y que si un usuario no está de acuerdo con ellas No será cooperativo. Pero pedir a los usuarios que cambien regularmente su contraseña es una regla de seguridad básica, ya que las contraseñas se pueden comprometer sin que el usuario lo note, y la única forma de mitigación es cambiar la contraseña (probablemente comprometida).     

Otras respuestas han cubierto posibles beneficios de seguridad, sin embargo, se me presenta un inconveniente importante: si un atacante toma el control de una cuenta y cambia la contraseña, se le garantiza una ventana de acceso de 24 horas como mínimo, durante la cual el usuario legítimo no puede recuperarla. Accede a su cuenta y bloquea al atacante.

Peor aún, al cambiar la contraseña cada 24 horas, pueden continuar manteniendo el acceso de forma indefinida, a menos que el usuario tenga mucha suerte con su sincronización.

Cuando se cambia algo como una contraseña en un sistema distribuido, el cambio puede tardar un tiempo en surtir efecto. Si varias solicitudes de cambio pudieran estar pendientes simultáneamente, se requeriría una complejidad de código adicional para garantizar que todas se resuelvan correctamente, especialmente si se requiere que las solicitudes incluyan información sobre las contraseñas antiguas y nuevas [no necesariamente incluidas, pero quizás solo algunas forma de "delta"]. Tales problemas no serían insuperables, pero si fuera aceptable, requerir que cualquier cambio de contraseña tenga la oportunidad de filtrarse a través del sistema antes de que se pueda emitir otro, eso podría evitar una complejidad significativa.

Creo que está correctamente definido cuando dicen que es por razones de seguridad.

Supuestamente, si alguien hackeara su cuenta, debería recibir algún tipo de notificación de que se ha detectado el inicio de sesión desde un nuevo dispositivo o lugar de trabajo. En esos términos, esta función de seguridad dependerá totalmente del soporte que siga su problema, y si responden con la suficiente rapidez, obtendrán una nueva contraseña modificada según sus políticas de seguridad en caso de un hackeo.

Pero también podemos suponer que no es la mejor política, por lo que deberían imponer más restricciones si han mantenido un tiempo mínimo de 24 horas si desea cambiar su contraseña nuevamente.

Permite agregar un ejemplo real de por qué esto puede ser una buena mejora de seguridad.

Digamos que su compañero de trabajo o quien se enteró de su contraseña de webmailer (digamos GMail hace 7 años, sin 2 factores). El atacante obtiene acceso a la interfaz web para cambiar su contraseña (imagine algunas razones) y mediante POP3 en sus correos. Debido a que Google es una red enorme, necesita algún tiempo para que las contraseñas antiguas estén deshabilitadas para el acceso POP3. Esto le da al atacante la posibilidad de restablecer su contraseña una y otra vez. Incluso si recupera el acceso con la función de restablecimiento y se valida a sí mismo con el acceso a su buzón en su teléfono inteligente o una estrategia de restablecimiento a través de SMS a su teléfono inteligente, el atacante (que aún tiene acceso a su buzón a través de POP3 con la contraseña antigua o su propia contraseña) puede restablece tu contraseña.

Con un ataque de este tipo, la víctima no puede bloquearte para siempre, porque el atacante no puede eliminar una estrategia de restablecimiento como un número de SMS, pero sin duda presenta un riesgo muy alto.

Este vector de ataque se puede prevenir fácilmente, si los cambios de contraseña son posibles solo cada 24 horas.