密码过期政策

这里有一条细线，从不改变它，也经常改变它。 多年来使用相同的密码通常不是一个好的解决scheme，特别是如果它是公开的。 但是，强制执行改变的僵硬政策往往也有不良的副作用。 我工作的一个地方，强制内部networking上的所有用户每隔6周更换一次密码，密码不能与以前的六个密码相同。 三个错误的密码locking了工作站，IT人员不得不解锁它。 结果是每个人都在挂在屏幕上的便签纸上写下密码或放在他们的抽屉里。 恶梦。

我想说，每6个月更换一次密码就足够了。 这将避免那些可怕的便利贴。

我build议使用一些math方法，考虑到您的密码复杂性，攻击者能够以多快的速度猜出密码，解锁账户的数量以及一些关于风险的知情信息。

希望你有一些限制密码猜测的速度。 通常情况下，这是通过一些临时locking账户在一些不好的密码之后。

希望你有一些密码复杂性的要求，所以“A”和“密码”是不允许的。

假设在10分钟内发生30次密码失败后，您将locking一个账户20分钟。 这有效地将密码猜测率限制为每小时174次，即每天4176次。 但是让我们假设它是每个用户。

假设您需要包含上，下和数字的8个以上字符的密码，并且您需要进行一些字典检查，以确保这些密码是合理随机的。 最糟糕的情况是，你的用户都把上面的一个号码和一个号码放在同一个地方，你的攻击者知道，所以你的密码是10 * 26 ^ 7（80G）。 最好的情况是62 ^ 8（218T）。

所以，一个攻击者尝试每一个可能的密码都会在最坏的情况下在5万年内遇到，而在最好的情况下将会达到近6亿年。 或者换一种说法，一年之内他们会有五万分之一到五百二十亿之间的猜测。 如果您拥有50,​​000个用户库，则几乎可以保证在最糟糕的情况下，他们每年可以进入一个帐户，并且每6个月获得一个帐户的机会大约有50％。

如果你没有速度限制，攻击者每天可以猜测十亿个密码？ 一年有六百分之一的机会入账，或是每年有五十个用户中有八十个用户的虚拟担保。

在这个math上工作，并找出你的可接受的风险水平在哪里。 请记住，设置的越短，用户就越难记住，越有可能写到便于现场攻击的地方。

作为一个额外的好处：如果有人每天都在对你的系统每个用户尝试数千个密码，我真的希望你有一些监视，可以select。

编辑：忘了提及：我们的实际政策是90天，但这一切都与错误的安全审计员的调查结果有关，与现实无关。

大多数情况下90天似乎已经足够了。 我最担心的是密码复杂性。 生成便签后的时间问题不仅仅是强制的复杂性。 避免使用词典和另一个有特殊字符是一回事，但是当你开始说没有字符可以重复或者按照升序/降序排列时，就会让你的用户生活变得困难。 再加上一个简短的密码生活，你只是欢迎在更多的问题。

密码过期令人讨厌，并降低安全性。

密码过期是针对攻击者已经泄漏用户密码的情况进行辩护的，但是没有一种机制来查明持续存在的内容（例如，键盘logging器）

但是，这也使得难以记住密码，使用户更可能写下密码。

由于防范已经妥协的密码是不是真的有必要（你希望），我认为密码到期无用。

让用户select一个强大的密码开始; 鼓励他们记住它，然后不要求他们改变它，否则他们最终会在任何地方写下来。

如果您的设备需要“高到极高”的安全保证，您最好使用生成一次性密码的硬件令牌，而不是依靠密码过期。

密码过期系统的主要“胜利”是，如果账户持有人离开组织，最终会有一个账户被禁用，作为额外的“检查和余额”，以“当账户持有人被禁止时树叶”。

强制密码过期最好导致高质量的密码被写下来，最坏的情况是密码不正确（在以前的工作场所，一旦我们被迫使用密码过期，我最终会使用（基本上）前缀1，2003，prefixFeb2003等因为我最喜欢的密​​码生成方法（48位随机位，Base64编码）不能缩放到“每月新密码”）。

我想如果你问10个不同的安全专家这个问题 – 你会得到10个不同的答案。

这很大程度上取决于密码保护资产的重要性。

如果您拥有高度安全的资产，则需要将密码过期策略设置得足够短，以便任何外部入侵者都没有时间暴力破解密码。 在这种情况下的另一个variables是密码需要什么级别的复杂性。

对于中低端的安全系统，我认为6个月的到期政策是非常公平的。

对于高层次的安全性，我认为一个月会更好 – 对于“超”安全的安装，预计甚至更短的时间。

我们对这里的每个人（包括我们自己）执行90天的密码失效。

主要是因为这只是最佳做法。 有人使用“弱”密码的机会较大，而且越长，则可能导致长期的，未检测到的安全漏洞。

我们每年到期的密码，并要求密码长度超过10个字符（最好随机）。 我们运行字典攻击人们的密码，当他们改变他们。 我们保留过去的密码哈希，以便密码不能被重复使用。 我们还检查密码的潜在date，如vatine说。 ;）最后是我的加法…

在以前的工作中，我们确实尝试了更新的频率，以每两个月一个新的networking安全pipe理员的要求。 第一次强制更改两周后，我把他带到我们的行政办公室，我们看着人们的键盘和鼠标垫。 其中超过50％的人在下面的post上写有密码。 我们坐下来和行政人员交谈后，他很高兴放松了政策 – 他们的意见是，他们没有足够的时间来背诵。

我们现在的大部分东西都是在一些孤岛中进行单点login。 校园资源（很less用于大多数人）都在一个筒仓里，密码由我们的中央IT部门pipe理。 部门资源（每天使用 – 机器login，电子邮件，网站编辑，复印机）是我们集团pipe理的密码，每年也过期。 如果人们抱怨被沮丧，我们指出他们真的只有一个密码要记住。

现在，我在/ var / log的随机文件上生成一个md5sum，并使用它的一个子集作为我的密码。

几年前，当我们开始密码到期政策时，我们曾经讨论过很多。 我们刚刚用彩虹桌完成了一个10英尺长的跑步，看看它有多糟糕，这真是太可怕了。 在用户进入/退出密码重置之后，仍有大量用户使用他们的“帮助台温度”密码，像30％使用“密码”或其他变体作为他们的密码的可怕事物（p @ $$ w0rd等） 。 这使pipe理层相信，这需要发生。

作为更高层次，我们有select间隔的时候应该与之争夺。 夏天我们很多教职员工都没有教，所以我们的服务台不得不在9月份回来时为我“忘记密码”打电话。 我认为，我可能是错的，我们的时间间隔是6个月，夏季特例。 所以如果你的6mo密码到期在8月中旬到期，它将会在9月底到10月初随机重新编程重置。

更好的问题是，您的实用程序帐户和pipe理员密码的轮换频率如何。 所有这些似乎都被豁免了密码更改政策。 谁想要通过所有这些脚本来更改公用程序帐户密码？ 而一些备份系统很难改变二手密码，这就阻碍了更改pipe理密码。

密码过期的一个主要问题是人们很难记住它们，所以你要么让人们使用弱密码或者类似的密码，要么如果你的政策不允许这样做，他们会开始记下密码以便记住密码。 当人们忘记密码时，你也会有更多的密码更改请求。

就个人而言，这取决于密码的用途，但我倾向于不要超过3个月的密码，除非它是一个完整的一次性账户。 对于更高风险的东西，每个月左右都是好的，如果有人知道它会离开，那就挑战性地改变它。 因为我在一个小型计算机支持公司工作，所以我们有许多人共享的多个密码，所以我们不想经常改变它们，因为它可能会造成中断。

有趣的评论到目前为止。 当然，为什么记住密码是公司技术人员和非技术人员问题的争论呢？ 计算机硬件/软件的能力与他们的安全能力有什么关系？ 非技术人员会出示他们的信用卡或借记卡吗？ 另外，在办公桌上放置便笺的人应该被解雇。 令人惊奇的是，如果人们真正意识到安全，人们的记忆力将会提高，这一点很重要，必须认真对待 我认为服装规范和行为政策在工作中的作用也不例外。 遵守规则或再见！

我认为拥有更安全的密码比经常更换密码要重要得多，但对于一个安全的系统来说，这两者都是必不可less的。

这个观点认为，复杂的密码很难记住，并导致员工写下来。 我的看法是， 绝大多数的攻击来自外部 ，甚至写下一个复杂的密码，并将其粘贴到你的显示器上比记住一个简单的密码更安全。

我正在实施基于一次性密码和时间令牌的身份validation，因此理论上每次用户login时都是如此。

虽然这可以说是无关紧要的，但是一次性的垫子似乎是一个优越的解决scheme。

同样的，更基本的是，确保用户创build一个强大的密码，并理解你的安全政策背后的道德规范（不要把它写下来，不要让它成为你的生日，不要交给任何人）而不是简单地强迫他们改变它每第n个时间间隔。