Zasady dotyczące haseł

Polityka haseł to zestaw reguł opracowanych w celu zwiększenia bezpieczeństwa komputera poprzez zachęcanie użytkowników do stosowania silnych haseł i prawidłowego ich używania. Zasady dotyczące haseł są często częścią oficjalnych przepisów organizacji i mogą być nauczane w ramach szkolenia dotyczącego świadomości bezpieczeństwa . Albo polityka dotycząca haseł jest jedynie doradcza, albo systemy komputerowe zmuszają użytkowników do jej przestrzegania. Niektóre rządy mają krajowe ramy uwierzytelniania, które określają wymagania dotyczące uwierzytelniania użytkowników w usługach rządowych, w tym wymagania dotyczące haseł.

wytyczne NIST

Narodowy Instytut Standardów i Technologii (NIST) Departamentu Handlu Stanów Zjednoczonych opracował dwa powszechnie stosowane standardy zasad dotyczących haseł.

2004

Od 2004 r. „Specjalna publikacja NIST 800-63. Dodatek A” radził ludziom używać nieregularnych wielkich liter, znaków specjalnych i co najmniej jednej cyfry. Była to rada, której przestrzegała większość systemów, i została „upieczona” w szereg standardów, których firmy musiały przestrzegać.

2017

Jednak w 2017 r. duża aktualizacja zmieniła tę radę, zwłaszcza że wymuszanie złożoności i regularnych zmian jest obecnie postrzegane jako zła praktyka.

Kluczowe punkty z nich to:

Weryfikatorzy nie powinni narzucać zasad kompozycji, np. wymagać mieszania różnych rodzajów znaków lub zabraniać kolejnych powtarzających się znaków
Weryfikatorzy nie powinni wymagać arbitralnej lub regularnej zmiany haseł, np. zgodnie z poprzednią zasadą 90 dni
Hasła muszą mieć co najmniej 8 znaków
Systemy haseł powinny zezwalać na wybierane przez abonenta hasła o długości co najmniej 64 znaków.
Wszystkie drukowane znaki ASCII , znak spacji i znaki Unicode powinny być dopuszczalne w hasłach
Podczas ustalania lub zmiany haseł weryfikator informuje abonenta o konieczności wybrania innego hasła, jeśli wybrał słabe lub złamane hasło
Weryfikatorzy powinni oferować wskazówki, takie jak miernik siły hasła, aby pomóc użytkownikowi w wyborze silnego hasła
Weryfikatorzy przechowują hasła w formie odpornej na ataki offline. Hasła są szyfrowane i haszowane przy użyciu odpowiedniej funkcji jednokierunkowego wyprowadzania klucza . Funkcje wyprowadzania klucza przyjmują hasło, sól i współczynnik kosztu jako dane wejściowe, a następnie generują skrót hasła. Ich celem jest sprawienie, aby każda próba odgadnięcia hasła przez atakującego, który uzyskał plik skrótu hasła, była kosztowna, a zatem koszt ataku polegającego na zgadywaniu był wysoki lub zaporowy.

NIST zawarł uzasadnienie dla nowych wytycznych w swoim Dodatku A.

Aspekty

Typowe elementy polityki haseł obejmują:

Długość i tworzenie hasła

Wiele zasad wymaga minimalnej długości hasła. Osiem znaków jest typowe, ale może nie być odpowiednie. Dłuższe hasła są generalnie bezpieczniejsze, ale niektóre systemy narzucają maksymalną długość, aby zapewnić zgodność ze starszymi systemami .

Niektóre zasady sugerują lub nakładają wymagania dotyczące rodzaju hasła, które użytkownik może wybrać, na przykład:

użycie zarówno wielkich, jak i małych liter ( rozróżnianie wielkości liter )
włączenie jednej lub więcej cyfr
włączenie znaków specjalnych , takich jak @, #, $
zakaz słów znajdujących się na liście zablokowanych haseł
zakaz używania słów znajdujących się w danych osobowych użytkownika
zakaz używania nazwy firmy lub jej skrótu
zakaz haseł pasujących do formatu dat kalendarzowych, numerów tablic rejestracyjnych , numerów telefonów lub innych popularnych numerów

Inne systemy tworzą początkowe hasło dla użytkownika; ale wymagać następnie zmiany go na wybrany przez siebie w krótkim odstępie czasu.

Lista zablokowanych haseł

Listy zablokowanych haseł to listy haseł, których użycie jest zawsze blokowane. Listy zablokowanych zawierają hasła utworzone z kombinacji znaków, które poza tym są zgodne z polityką firmy, ale nie powinny być już używane, ponieważ zostały uznane za niebezpieczne z jednego lub więcej powodów, takich jak łatwe odgadnięcie, podążanie za wspólnym wzorcem lub publiczne ujawnienie wcześniejszych naruszeń danych . Typowe przykłady to Hasło1, Qwerty123 lub Qaz123wsx.

Czas trwania hasła

Niektóre zasady wymagają od użytkowników okresowej zmiany haseł, często co 90 lub 180 dni. Korzyści z wygaśnięcia hasła są jednak dyskusyjne. Systemy, które wdrażają takie zasady, czasami uniemożliwiają użytkownikom wybranie hasła zbyt bliskiego poprzedniemu wyborowi.

Ta polityka często może przynieść odwrotny skutek. Niektórym użytkownikom trudno jest wymyślić „ dobre ” hasła, które są również łatwe do zapamiętania, więc jeśli ludzie muszą wybierać wiele haseł, ponieważ muszą je często zmieniać, ostatecznie używają znacznie słabszych haseł; polityka zachęca również użytkowników do zapisywania haseł. Ponadto, jeśli zasady uniemożliwiają użytkownikowi powtórzenie ostatniego hasła, wymaga to istnienia bazy danych ostatnich haseł wszystkich użytkowników (lub ich skrótów ) zamiast wymazywania starych z pamięci. Wreszcie, użytkownicy mogą wielokrotnie zmieniać swoje hasło w ciągu kilku minut, a następnie zmienić je z powrotem na to, którego naprawdę chcą używać, całkowicie omijając zasady zmiany hasła.

Należy również wziąć pod uwagę ludzkie aspekty haseł. W przeciwieństwie do komputerów, użytkownicy nie mogą usunąć jednej pamięci i zastąpić jej inną. W związku z tym częsta zmiana zapamiętanego hasła obciąża ludzką pamięć, a większość użytkowników wybiera hasło, które jest stosunkowo łatwe do odgadnięcia (patrz Zmęczenie hasłem ). Użytkownikom często zaleca się używanie mnemotechnicznych do zapamiętywania złożonych haseł. Jeśli jednak hasło musi być wielokrotnie zmieniane, mnemoniki są bezużyteczne, ponieważ użytkownik nie pamiętałby, którego mnemonika użyć. Ponadto użycie mnemotechnik (prowadzących do haseł takich jak „2BOrNot2B”) ułatwia odgadnięcie hasła.

Problemem mogą być również czynniki administracyjne. Użytkownicy czasami mają starsze urządzenia, które wymagają hasła, które było używane przed wygaśnięciem okresu ważności hasła. ^{[ potrzebne wyjaśnienie ]} Aby zarządzać tymi starszymi urządzeniami, użytkownicy mogą być zmuszeni do zapisania wszystkich starych haseł na wypadek konieczności zalogowania się na starszym urządzeniu.

Wymaganie bardzo silnego hasła i niewymaganie jego zmiany jest często lepsze. Takie podejście ma jednak poważną wadę: jeśli nieupoważniona osoba zdobędzie hasło i użyje go bez wykrycia, może mieć dostęp przez czas nieokreślony.

Konieczne jest rozważenie następujących czynników: prawdopodobieństwo, że ktoś odgadnie hasło, ponieważ jest słabe, w porównaniu z prawdopodobieństwem, że ktoś zdoła ukraść lub w inny sposób zdobyć silniejsze hasło bez zgadywania.

Bruce Schneier twierdzi, że „prawie wszystko, co można zapamiętać, można złamać” i zaleca schemat wykorzystujący hasła, które nie pojawią się w żadnym słowniku.

Sankcja

Zasady dotyczące haseł mogą obejmować sankcje progresywne, począwszy od ostrzeżeń, a skończywszy na możliwej utracie uprawnień do korzystania z komputera lub zwolnieniu z pracy. Tam, gdzie prawo nakazuje zachowanie poufności, np. w przypadku informacji niejawnych , naruszenie zasad dotyczących haseł może stanowić przestępstwo ^{[ potrzebne źródło ]} . Niektórzy ^{[ kto? ]} rozważyć przekonujące wyjaśnienie znaczenia bezpieczeństwa jako skuteczniejszego niż groźby sankcji ^{[ potrzebne źródło ]} .

Proces selekcji

Wymagany poziom siły hasła zależy między innymi od tego, jak łatwo atakującemu może przesłać wiele odpowiedzi. Niektóre systemy ograniczają liczbę przypadków, w których użytkownik może wprowadzić nieprawidłowe hasło, zanim nastąpi opóźnienie lub konto zostanie zablokowane. Z drugiej strony, niektóre systemy udostępniają specjalnie zaszyfrowaną wersję hasła, aby każdy mógł sprawdzić jego ważność. Po wykonaniu tej czynności osoba atakująca może bardzo szybko wypróbować hasła; o wiele silniejsze hasła są potrzebne do rozsądnego bezpieczeństwa. (Zobacz łamanie haseł i równanie długości hasła .) Bardziej rygorystyczne wymagania są również odpowiednie dla kont z wyższymi uprawnieniami, takich jak konta administratora lub administratora systemu.

Rozważania dotyczące użyteczności

Zasady dotyczące haseł są zwykle kompromisem między teoretycznym bezpieczeństwem a praktycznymi zachowaniami ludzi. Na przykład:

Wymaganie zbyt skomplikowanych haseł i wymuszanie ich częstej zmiany może spowodować, że użytkownicy będą zapisywać hasła w miejscach łatwych do znalezienia dla intruza, takich jak Rolodex lub karteczki samoprzylepne w pobliżu komputera.
Użytkownicy często mają do zarządzania dziesiątkami haseł. Bardziej realistyczne może być zalecenie używania jednego hasła do wszystkich aplikacji o niskim poziomie bezpieczeństwa, takich jak czytanie gazet online i uzyskiwanie dostępu do witryn rozrywkowych.
Podobnie wymaganie, aby użytkownicy nigdy nie zapisali swoich haseł, może być nierealne i skłaniać użytkowników do wybierania słabych haseł (lub powodować wiele niedogodności, gdy użytkownicy zapomną swoje hasło). Alternatywą jest sugerowanie przechowywania zapisanych haseł w bezpiecznym miejscu, takim jak sejf lub zaszyfrowany plik główny. Trafność tego podejścia zależy od tego, jakie jest najbardziej prawdopodobne zagrożenie. Podczas gdy zapisanie hasła może być problematyczne, jeśli potencjalni atakujący mają dostęp do bezpiecznego magazynu, jeśli zagrożeniem są przede wszystkim zdalni atakujący, którzy nie mają dostępu do sklepu, może to być bardzo bezpieczna metoda.
Włączenie znaków specjalnych może stanowić problem, jeśli użytkownik musi zalogować się na komputerze w innym kraju. Znalezienie niektórych znaków specjalnych na klawiaturach zaprojektowanych dla innego języka może być trudne lub niemożliwe.
Niektóre systemy zarządzania tożsamością umożliwiają samoobsługowe resetowanie hasła , w którym użytkownicy mogą ominąć zabezpieczenia hasłem, udzielając odpowiedzi na jedno lub więcej pytań zabezpieczających, takich jak „gdzie się urodziłeś?”, „jaki jest twój ulubiony film?” itp. Często odpowiedzi na te pytania można łatwo uzyskać za pomocą socjotechniki , phishingu lub prostych badań.

Analiza polityki haseł 75 różnych stron internetowych przeprowadzona w 2010 r. wykazała, że bezpieczeństwo tylko częściowo wyjaśnia bardziej rygorystyczne zasady: monopolistyczni dostawcy usług, tacy jak strony rządowe, mają bardziej rygorystyczne zasady niż witryny, w których konsumenci mają wybór (np. sklepy detaliczne i banki). Z badania wynika, że witryny z bardziej rygorystycznymi zasadami „nie mają większych obaw związanych z bezpieczeństwem, są po prostu lepiej odizolowane od konsekwencji słabej użyteczności”.

Dostępne są inne metody, które są ogólnie uważane za bezpieczniejsze niż proste hasła. Obejmują one użycie tokena zabezpieczającego lub systemu haseł jednorazowych , takiego jak S/Key , lub uwierzytelnianie wieloskładnikowe . Jednak te systemy zwiększają kompromis między bezpieczeństwem a wygodą: według Shumana Ghosemajumdera wszystkie te systemy poprawiają bezpieczeństwo, ale „kosztem przeniesienia ciężaru na użytkownika końcowego”.

Egzekwowanie polityki

Im bardziej złożona jest polityka dotycząca haseł, tym trudniej jest ją wyegzekwować ze względu na trudności użytkownika w zapamiętaniu lub wybraniu odpowiedniego hasła.

Większość firm będzie wymagać od użytkowników zapoznania się z wszelkimi zasadami dotyczącymi haseł, podobnie jak firma wymaga od pracowników znajomości przepisów BHP lub dróg ewakuacyjnych budynków, jednak często trudno jest zapewnić, że odpowiednie zasady są rzeczywiście przestrzegane bez systemów, które automatycznie egzekwują zasady. Wiele systemów, takich jak Microsoft Windows , które wymagają haseł, ma wbudowane metody wymuszania ustalonych zasad. Jest to jedyny niezawodny sposób, aby upewnić się, że polityka jest przestrzegana.

Zobacz też