Ich wurde beauftragt, die Sicherheitsrichtlinien des Unternehmens zusammenzustellen. Als Teil davon möchte ich definieren, was ein vernünftiges, aber sicheres Passwort ist (Länge, Zeichen usw.), wie oft sie geändert werden sollten, Länge des Passwortverlaufs und so weiter.
Natürlich muss ich Sicherheit gegen Praktikabilität abwägen.
Was halten die Leute im Allgemeinen für eine gute Passwortrichtlinie?
Antworten:
Wikipedia hat eine schöne Zusammenfassung zu diesem Thema
Allgemeine Kennwortpraxis Kennwortrichtlinien enthalten häufig Hinweise zur ordnungsgemäßen Kennwortverwaltung, z. B.:
Vorschläge der TU Delft :
Merkmale akzeptabler Passwörter
Best Practices zum Schutz von Passwörtern
Mit der zunehmenden Verbreitung von Keyloggern und Phishing-Angriffen kann es für Ihr Unternehmen erforderlich sein, Alternativen zu "starken" Passwörtern in Betracht zu ziehen. Siehe Bruce Schneiers Blog über das Papier Erfüllen starke Web-Passwörter etwas?
Ich würde dringend empfehlen, die Zwei-Faktor-Authentifizierung zu verwenden. Zwischen Fußbällen, SecureID und Yubikey ist es sehr einfach und relativ kostengünstig, einen zweiten Authentifizierungsfaktor zu implementieren.
Ich mag Passwordsafe , um Passwörter im Auge zu behalten.
Meine Vorschläge:
Ermutigen Sie Passphrasen, keine Wörter. Eine Unsinnsphrase aus 3-4 Wörtern ist leichter zu merken als 8 verstümmelte Zeichen.
Stellen Sie eine angemessene maximale Lebensdauer ein. 3 bis 6 Monate.
Verlassen Sie sich nicht auf 1337 speak, um ein Passwort zu schützen. Brute-Force-Wörterbuch-Angreifer wie Crack führen seit fast 20 Jahren Buchstaben-> Zahlenänderungen durch. Benötigen Sie jedoch Buchstaben, Zahlen, Groß- und Kleinbuchstaben sowie Interpunktion.
Verlassen Sie sich aus Sicherheitsgründen nicht auf nicht englische Wörter. Jeder Narr kann mehrere Wörterbücher in ein Programm laden. Es spielt keine Rolle, ob er die Sprache spricht oder nicht.
Für persönliche Sachen benutze ich
Sie müssen eine "vernünftige" Frequenz für die Häufigkeit wählen, mit der sie geändert werden sollen. Zu schnell und die Leute degenerieren in <old_password>+<number>(oder ähnliches), so langsam und Sie erhöhen das Risiko, dass das Passwort kompromittiert wird. Es könnte sich lohnen zu untersuchen, ob es eine Regel gibt, die Sie einrichten können, um sich dagegen zu schützen.
Ebenso müssen Sie eine Regel haben, die besagt, dass ein Passwort nicht für so viele Änderungen (vielleicht 10) wiederverwendet werden kann, damit die Benutzer nicht nur zwischen zwei (oder drei) Passwörtern für ihr Konto wechseln.
Machen Sie das Passwort mindestens alphanumerisch mit mindestens einem Großbuchstaben. Um es etwas sicherer zu machen, muss mindestens ein nicht alphanumerisches Zeichen vorhanden sein.
Sie könnten so etwas wie einen Passwortgenerator wie SuperGenPass haben . Sie könnten also ein schwaches Passwort haben, aber die generierte Zeichenfolge wäre extrem stark. Das wäre aber mehr für Website-Logins.
Andere Optionen wären:
Am Freitag musste ich mein Passwort bei meinem Kunden ändern. Die Regeln, die sie haben, sind lächerlich. Sie sind alle Standard-Großbuchstaben, Satzzeichen, Mindestlängen usw. sowie.
Das Problem ist, dass sie so komplex sind, dass es fast unmöglich ist, eine zu finden, zumal die Fehlermeldung nicht die zusätzlichen Anforderungen angibt, die sie haben.
Ich rief den Helpdesk an und sie sagten, verwenden Sie einfach eine wie diese Pa5word # (nicht das echte Passwort) und erhöhen Sie dann die Nummer weiter ....
Ich finde diese Systeme völlig verrückt, da sie Sie davon abhalten, Passphrasen zu verwenden, zum Beispiel "thisismypasswordforjanurary" ist sehr leicht zu merken und sehr sicher, aber die meisten Systeme lassen diese Arten von Passphrasen nicht zu.
Ich würde also für eine hohe Mindestlänge stimmen, sagen wir 15 bis 20 Zeichen, damit die Leute nicht nur Wörter verwenden können und keine Passwörter im l33t-Stil erforderlich sind.
Was auch immer Sie wählen, ich würde sicherstellen, dass Sie dokumentieren, welche Einschränkungen bestehen und warum sie vorhanden sind, und einige Beispiele für Benutzer, mit denen sie sichere generieren können.
Die meisten Antworten hier gehen direkt auf Richtlinienvorschläge ein. Was die Frage beantwortet, das ist gut. Aber meiner Meinung nach müssen Sie sich zuerst fragen: Wie wichtig sind die Informationen, die Sie schützen?
Beispielsweise unterscheidet sich die Kennwortrichtlinie für das Verteidigungsministerium zum Schutz vertraulicher Informationen wahrscheinlich erheblich von der Richtlinie, die Sie für Wegwerf-E-Mail-Konten verwenden.
Kurzfassung:
Der Admin-Teil von mir sagt 12-16-stellige Passwörter mit Klein- und Großbuchstaben und Zahlen. Sollte auch einen zufälligen Textteil haben, der in keinem Wörterbuch enthalten ist. Sollte ausreichen, um netzwerkbasierte Brute-Force-Angriffe zu verhindern.
Als Benutzer mag ich Passwörter, die leicht zu merken sind, auch wenn sie lang sein können (ab 16 Zeichen). Sobald ich es auswendig gelernt habe, kann ich es schnell genug eingeben. Anstatt nur eine Richtlinie durchzusetzen, sollten Sie möglicherweise clevere Methoden finden, um Ihren Benutzern beizubringen, sichere und leicht zu merkende Kennwörter zu wählen, nicht nur zufällige Zeichen.