Alters- / Komplexitätsrichtlinie für Benutzerkennwörter

Hat jemand Ressourcen für die Festlegung einer angemessenen Kennwortrichtlinie für meine Benutzer? Mein persönliches Anliegen ist es, die Komplexität von Passwörtern zu verbessern und sie weniger häufig ändern zu lassen, als eine Art Kompromiss. Es scheint, dass mein durchschnittlicher Benutzer eine höhere Toleranz für das Einmischen einiger Zahlen und Sonderzeichen hat als vor 5 oder 10 Jahren.

Ich suche nach Faustregeln und / oder Ressourcen, mit denen ich meine vorgeschlagenen Richtlinienänderungen sichern kann. Oder sogar anekdotische Informationen von denen mit mehr Erfahrung.

(Ich bin weit davon entfernt, ein Sicherheitsguru zu sein. Wenn dies nur zu vage ist, beschränken wir die Frage auf interne Windows-Netzwerkkennwörter, obwohl ich daran interessiert bin, was die Leute in Bezug auf VPN und Web tun Servicerichtlinie)

In der heutigen Welt der zufälligen Brute-Force-Passwortangriffe stimme ich der Aussage eher zu: Ein gutes, aufgeschriebenes Passwort ist besser als ein auswendig gelerntes, leicht zu erratendes Passwort

Hier ist ein guter Vergleich der Passwortstärke:

http://www.lockdown.co.uk/?pg=combi

Sie tun das Richtige, wenn Sie sich überlegen, mit was Ihre Benutzer arbeiten möchten. Wenn Sie hochkomplexe Passwörter erzwingen, die sich häufig ändern müssen, steigt der Verbrauch Ihrer Post-It-Notizen sprunghaft an.

Gene Spafford von Purdues CERIAS liefert einen sinnvollen Beitrag zu diesem Thema . Hier ist ein teilweises Zitat:

Woher kommt also das Sprichwort „Passwort einmal im Monat ändern“? Damals, als die Leute Mainframes ohne Netzwerk verwendeten, war das größte Problem bei der unkontrollierten Authentifizierung das Knacken. Die Ressourcen waren jedoch begrenzt. Soweit ich das beurteilen kann, haben einige DoD-Auftragnehmer einige Berechnungen durchgeführt, um festzustellen, wie lange es dauern würde, bis alle möglichen Kennwörter auf ihrem Mainframe durchlaufen waren, und das Ergebnis betrug mehrere Monate. Aus diesem Grund setzen sie (einigermaßen vernünftigerweise) eine Kennwortänderungsfrist von einem Monat ein, um systematische Cracking-Versuche zu verhindern. Dies wurde dann in der Politik verankert, die im Laufe der Jahre veröffentlicht und von anderen weitgehend akzeptiert wurde. Im Laufe der Zeit begannen die Prüfer, danach zu suchen, und bauten es schließlich zu ihrer „Best Practice“ aus, die sie erwarteten.

Dies ist trotz der Tatsache, dass jede vernünftige Analyse zeigt, dass eine monatliche Passwortänderung keine oder nur geringe Auswirkungen auf die Verbesserung der Sicherheit hat!
Es handelt sich um eine bewährte Methode, die auf der Erfahrung vor 30 Jahren mit nicht vernetzten Mainframes in einer DoD-Umgebung basiert - kaum eine Übereinstimmung mit den heutigen Systemen, insbesondere im akademischen Bereich!

Ich bin viel mehr für ein längeres Passwort (was realistischerweise bedeutet, dass Sie sich an mehrere Wörter erinnern müssen), anstatt Wörter und Zahlen zu mischen. Wenn Sie Leute dazu zwingen, Zahlen hinzuzufügen, tun sie eher einfache Dinge wie das Ersetzen von i durch 1 usw., was Ihnen nicht sehr viel Sicherheit bringt.

http://www.iusmentis.com/security/passphrasefaq/

Es gibt Unmengen an Material in den Passwortrichtlinien. Ich empfehle einen Blick auf

• Der Wikipedia-Artikel zur Passwortrichtlinie
• SANS- Kennwortrichtliniendokument .
• NIST sp800-118 Entwurf mit dem Titel Leitfaden für die Verwaltung von Unternehmenskennwörtern

Nun muss etwas über die Passwortsicherheit gesagt werden . Tatsache ist, dass schwer zu merkende Passwörter aufgeschrieben werden. Gleiches gilt für Passwörter, die zu oft geändert werden müssen. Unterm Strich kommt es darauf an, was Sie schützen und wie Ihre Nutzerbasis ist.

Die Richtlinie sollte widerspiegeln, wofür die Benutzer die Computer verwenden und wie sensibel die Benutzer mit diesen Informationen umgehen. Wenn es nur um die Präferenzen der Benutzer geht, muss es nicht wirklich stark verstärkt werden, wenn alles andere vorhanden ist, um Angriffe abzuwehren. Wenn das Gegenteil der Fall ist, hätte ich eher genervte Benutzer, die über komplexe Passwörter stöhnten, um sich zu erinnern.

Ich habe zu jeder Zeit etwa 20 komplexe Passwörter im Kopf, und ich habe begonnen, sie mithilfe von Mustern auf der Tastatur zu erstellen, um sie zu merken. Das macht es einfacher, da ich nur den Ausgangspunkt und das zu erstellende Muster kennen muss. Jeder hasst es, Passwörter zu ändern, aber diese Technik ermöglicht es mir, sie leicht zu ändern und sich zu merken, so dass die Sicherheit für mich zumindest eng ist. Ich kann sogar einen Buchstaben auf ein Blatt Papier schreiben und mich immer noch daran erinnern, welches Muster ich machen soll, und ich kann mich nicht wirklich gut an die Dinge erinnern. Ob dies jedoch für irgendjemanden von Nutzen ist, weiß ich nicht.

Ein komplexes Passwort aufzuschreiben, ohne es zu verschleiern, erscheint mir einfach falsch. Wenn jemand versucht, physisch in einen Computer einzudringen, können Sie sicher sein, dass er nach einer verräterischen Geschichte sucht.

Ich glaube, als ich für eine Gesundheitseinrichtung arbeitete, kamen einige unserer Anforderungen von der HIPAA. Ich habe mir die SOX-Regs nicht angesehen (an die ich mich in der Versicherungsbranche jetzt wohl gehalten habe), aber sie haben möglicherweise eine ähnliche Sprache als Grundlage für diese Art von Dingen.

Wenn Sie Teil einer größeren IT-Organisation sind (Unterabteilung in einem größeren Unternehmen), verfügt das Unternehmen möglicherweise über Regeln, die eingehalten werden können.

Das Fazit muss sein, dass, unabhängig davon, welche Richtlinie implementiert wird, diese von der Geschäftsleitung gesegnet und vorzugsweise in einer Sicherheits- oder IT-Richtlinie festgehalten wird, auf die alle Mitarbeiter aufmerksam gemacht werden müssen. Es muss nicht drakonisch sein (Passwort alle 180 Tage ändern, Kombination aus Alpha und Zahlen), aber es sollte eine Unternehmensrichtlinie sein, damit jeder die Anforderungen genau kennt.

Einige gute Vorschläge, also füge ich einfach Folgendes hinzu:

Solange Sie sicherstellen können, dass Sie von der Richtlinie ausgenommen sind ... Ich habe ein gutes Gedächtnis. Ich persönlich bevorzuge es, ein aus 18 Zeichen bestehendes Kennwort zu verwenden, das für 6 Monate oder länger als a lächerlich komplex ist Einfaches, das ich einmal im Monat wechseln muss.

Beachten Sie, dass ein 16-stelliges Kennwort, das nur Klein- und Großbuchstaben und Leerzeichen verwendet, 53 ^ 16 Kombinationen oder 3,876 * 10 ^ 27 ergibt, während ein 10-stelliges Kennwort, das Klein- und Großbuchstaben, Zahlen und Symbole verwendet, nur 95 ^ 10 oder 5,987 ergibt * 10 ^ 19.