密码过期策略

Question

刚刚收到供应商的电子邮件，通知我们他们将强迫我们每六个月更改一次密码，我很想知道人们使用什么密码过期策略以及他们为什么使用它们。

Answer 1

我建议使用一些数学方法，将您的密码的最低复杂度、攻击者猜出密码的速度、您拥有的未锁定帐户的数量以及有关您的风险的一些知情信息考虑在内。

希望您对密码猜测有某种速率限制。通常，这将通过在一定数量的错误密码后临时锁定帐户的方法来实现。

希望您有某种密码复杂性要求，以便不允许使用“A”和“密码”。

假设在 10 分钟内密码失败 30 次后，您将锁定帐户 20 分钟。这有效地将密码猜测率限制为每小时 174 次，或每天 4176 次。但让我们假设它是每个用户。

假设您需要包含大写、小写和数字的 8 个以上字符的密码，并且您进行了一些字典检查以确保这些密码是合理随机的。最坏的情况是，您的用户都将一个大写和一个数字放在同一个位置，并且您的攻击者知道这一点，因此您有 10 * 26 ^ 7 (80G) 个可能的密码。最好的情况是 62^8 (218T)。

因此，在最坏的情况下，尝试所有可能密码的攻击者将在 50,000 年内击中所有密码，而在最好的情况下，攻击者将在 50,000 年内击中所有密码。或者，换句话说，给定一年的时间，他们会有 50,000 分之一到 52,000,000,000 分之一的猜测。如果您的用户群为 50,000，则几乎可以肯定，在最坏的情况下，他们每年会进入一个帐户，并且每 6 个月大约有 50% 的机会获得一个帐户。

如果您没有速率限制并且攻击者每天可以猜出 10 亿个密码？一年内有 600 分之一的机会进入一个帐户，或者每年从 50,000 名用户中获得大约 80 名的虚拟保证。

进行数学计算，并找出您可接受的风险水平。请记住，设置的时间越短，用户就越难记住，而且他们越有可能将它写在方便现场攻击者的地方。

作为一个额外的好处：如果有人每天针对您的系统为每个用户尝试数千个密码，我真的希望您有某种监控来解决这个问题。

编辑： 忘了说：我们的实际政策是 90 天，但这与误导的安全审计员的发现有关，与现实无关。

Answer 2

在从不改变它和经常改变它之间有一条细线。多年使用相同的密码通常不是一个好的解决方案，尤其是如果它是公开可用的。但是，强迫过于频繁地改变它的严格政策也会产生不良的副作用。我工作的一个地方，强制内网所有用户每6周修改一次密码，密码不能和之前的6个密码一样。三个错误的密码锁定了工作站，IT 人员不得不将其解锁。这导致每个人都在挂在屏幕上或放在抽屉里的便利贴上写下密码。恶梦。

我会说每 6 个月更改一次密码就足够了。这将避免那些可怕的便利贴。