Richiedere il cambio regolare della password ma memorizzare le password precedenti?

La banca conserva le password precedenti (o le relative hash) per costringerti a cambiare la password, ma ciò non significa che accetterebbero una vecchia password come autenticazione valida. Il punto importante è: la banca vuole proteggere accesso , ma non ha alcun interesse a proteggere le tue vecchie password di per sé . Per la banca, la vecchia password non è più un dato sensibile, dal momento che non concede l'accesso alla banca.

Beh, in realtà, le vecchie password sono un po 'sensibili perché gli utenti sono utenti, e quindi:

1. riutilizzare le password per altri siti;
2. "genera" password successive con procedure "spiritose", al contrario di ciò che dovrebbero fare, cioè procedure casuali . Se un utente malintenzionato scopre che le due password precedenti sono "assonnate" e "sneezy", potrebbe provare "scontroso" e "felice" come potenziali password).

Quindi una banca che conserva tracce di vecchie password attorno a dovrebbe proteggerle adeguatamente, cioè come se fossero ancora password attive (quindi memorizzare solo hash, con un hash lento e molto sale). Ma questo è indiretto. Di per sé, l'apprendimento di una vecchia password non conferisce alcun potere speciale all'attaccante, almeno dal punto di vista della banca.

Forzare le modifiche delle password sugli utenti è, nel migliore dei casi, una procedura di valore dubbio. potrebbe migliorare la sicurezza solo se supponiamo che la password precedente sia stata effettivamente rubata ad un certo punto. In altre parole, ha dei vantaggi per la sicurezza solo se si verifica una quantità costante e non nulla di accessi fraudolenti e il server ha imparato a tollerarlo e vuole solo mantenerlo basso. Questo non è molto rassicurante, per una banca. In tutti gli altri casi, forzare un aggiornamento della password non fa che inimicarsi gli utenti, e non è mai una buona cosa. Vedi questa domanda precedente per ulteriori opinioni sull'argomento.

La maggior parte dei luoghi in cui le password devono essere cambiate regolarmente lo fanno principalmente perché è tecnicamente possibile, e per rispetto di una tradizione confusa che non viene mai espressa con chiarezza. Sul mio posto di lavoro, le password devono essere cambiate ogni 42 giorni, devono essere distinte dalle ultime 24 password e, ultimo ma non meno importante, quando cambio la mia password non mi è permesso cambiarla nuovamente per i prossimi tre giorni (ho non ho mai capito quale ragionamento potesse aver attraversato la mente delle persone che hanno stabilito una tale regola, non ne trovo alcun beneficio in nessuna situazione, anzi inverosimile, è solo fastidioso, e devo presumere che fosse destinato a farmi arrabbiare ).

Tuttavia, se la banca desidera tuttavia forzare gli aggiornamenti delle password, quindi mantenere gli hash della vecchia password ha senso: non indebolisce la sicurezza del sito della banca e è l'unico modo per applicare una politica di password distinte .

Quelle password memorizzate vengono utilizzate solo per verificare se la nuova password corrisponde a una di esse e limitare tale utilizzo. Non sono mai stati utilizzati per consentire l'autenticazione, quindi non ha alcun impatto sulla sicurezza dell'utilizzo della nuova password e sconfigge il possibile tentativo di forzarla bruteforce in tempo.

L'unico svantaggio di questo schema è che se questa memoria di vecchie password viene compromessa, potrebbe fornire maggiori informazioni sulle password "in-the-wild" reali da includere nei dizionari e provare altrove, rispetto alla semplice memorizzazione della password corrente . Questo, naturalmente, è che l'hacker impiegherà del tempo a fare bruteforcing o se l'hashing utilizzato nell'archiviazione è debole.