Criterio password: emettere password generate casualmente / consentire all'utente di scegliere una password

Politiche password migliori: strong, gestito e tenuto al sicuro.

Evidenziato

• lungo (12 o più caratteri)
• set di caratteri completo richiesto (superiore, inferiore, numero, simbolo)
• nessuna parola completa
• nessuna informazione personale se basata su una parola

gestita

• conservato in un luogo sicuro nel caso sia necessaria una ricerca
• cambiato regolarmente
• non è uguale al pass precedente
• mantenuto hash in un database dietro una password completamente casuale (di forza insana) o su un database non in rete che richiede accesso fisico sicuro

sicura

• il recupero avviene di persona o attraverso canali sicuri completi
Le password
• vengono esaminate prima di essere modificate (automaticamente o in base a una pianificazione)
• nessun utente conosce la password di un altro utente (se viene scoperto che lo fa e non ne ha una buona ragione, impone una modifica della password)
Opzione
• per l'autenticazione a 2 fattori per renderla più sicura

questi suggerimenti sono i migliori per la sicurezza della password e spesso vengono utilizzati a livello aziendale.

Informazioni su 2 fattori e alcuni problemi con questo:

Ovviamente questa opzione per l'autenticazione a 2 fattori viene spesso sballottata come "Perché non usare solo l'autenticazione a 2 fattori". Beh, in realtà c'è una ragione per questo: probabilmente dovresti per gli account che gestiscono dati sensibili . Oh aspetta, ci sono anche alcune insidie:

Per tutti gli altri, questo aggiunge un livello fisico di autenticazione che costa denaro, tempo e impostazione, oltre all'esecuzione o all'assunzione di un servizio da generare, e mantiene l'autenticazione sincronizzata. Con le posizioni in rete e fuori sede, questo può incorrere in alcuni problemi se non gestito correttamente e nel tempo ha sempre bisogno di manutenzione. Peggio ancora, la perdita di keygen è un problema comune , quindi è necessario distribuire i backup sul sito e, se in un viaggio d'affari, 2 fattori portano a un enorme problema se perduti. Poi li istruisci su come usarlo e li costringe a mantenere password sicure. Ciò richiede molto tempo per essere eseguito (a seconda delle dimensioni dell'azienda, questo potrebbe effettivamente portare a una revisione completa dell'IT) e richiede formazione e personale dedicato a mantenerlo.

TL, DR:

Implementa password sicure e parla con la compagnia della politica e della manutenzione delle password. Quindi offri l'opzione di 2 fattori (e forza in alcuni punti se necessario). Controlla sempre le password (manualmente o tramite un algoritmo) per confermare che non sono facili da decifrare o contenere informazioni di identificazione personale. Queste migliori pratiche sono sufficienti per mantenere molte aziende al sicuro. Tuttavia, non dimenticare mai che le password sono solo una parte della sicurezza informatica.

Per quanto riguarda l'invio di password casuali ... beh, all'inizio, va bene, ma alla fine è necessario ruotarlo e, in tal caso, dovresti lasciarli scegliere in modo che possano ricordarli più facilmente. Se non riescono a ricordarlo, continueranno a non riuscire ad accedere, il carico IT aumenterà a causa di password dimenticate, e quindi scriverlo su note appiccicose e perderle diventerà un vettore di attacco, o conservandole nell'e-mail personale con una password debole , tutti i tipi di cose brutte, ecc. Sarebbe meglio istruirli su come creare una password sicura, lunga, strong e facilmente memorizzabile come la seguente:

R4nD0ms7 @ Pl312eM0 / 312 è un dispositivo di rimozione di graffette casuale. Buona fortuna per identificarlo a colpo d'occhio o per scriverlo. Ma aspetta che tu abbia già memorizzato la base!

In apparenza sembra più sicuro, ma sarei preoccupato che tu possa imbatterti in problemi di persone che scrivono la password casuale su un post-it e lo schiaffo sul muro accanto al loro computer. Puoi suggerire alle persone di usare un gestore di password, ma alla fine del giorno il 90% di loro farà semplicemente quello che vuole.

Potrebbe anche essere reso meno sicuro in base al metodo di consegna. Se invii loro la password per posta elettronica, questo è ovviamente un problema, perché in questo caso è mobile in testo normale.

Inoltre, chiunque in azienda potrebbe odiarti. Nella mia esperienza le persone odiano le password generate automaticamente. Questo non è realmente legato alla sicurezza, ma potrebbe valerne la pena.

In sintesi: non sono sicuro che sia una risposta in bianco e nero. Le password stesse probabilmente saranno più sicure, ma ci sono altri problemi che ho menzionato per prendere in considerazione.

Random non funzionerà, se c'è un problema con l'autenticazione singola, passa a 2-factor. In questo modo se qualcuno è in grado di passare l'hash, hai ancora la protezione secondaria. Le password lunghe, le password troppo complesse e le password che cambiano troppo frequentemente causano solo agli utenti A) Salvare le password su tutti i dispositivi che possono utilizzare e B) farle scriverle.

Mantieni la politica della password in un modo che gli utenti possano ricordare e istruisci su un uso migliore della password, ma il fattore 2 è la tua scommessa sicura.

Ricorda che se un utente sta acquisendo gli hash degli utenti, è già in un sistema compromesso, quindi le password casuali funzioneranno solo se esegui lo svuotamento di ogni sistema di ogni profilo utente dopo ogni disconnessione. Ciò infastidisce gli utenti quando devono creare profili per ogni accesso. Se non lo facessi, un utente malintenzionato avrebbe comunque una finestra per accedere anche a caso in uso.

Fattore 2 per la vittoria.

-Chase

Se gli utenti sono sicuri che i loro dispositivi fisici sono sicuri, perché non utilizzare la sicurezza basata su token anziché le password? Puoi tenere traccia dei token e delle loro scadenze in una tabella del database. Possono avviare il processo di migrazione a tale sistema se si invia un messaggio di posta elettronica all'utente contenente un URL di conferma univoco e casuale. Quando fanno clic sull'URL, ottengono un token crittograficamente sicuro salvato nel browser in un cookie o nella memoria locale. In questo modo non devono più usare le password e puoi generare i token con un CSPRNG. Per gli utenti che non vogliono presumere che i propri dispositivi siano abbastanza sicuri e per gli utenti con token scaduti, basta inviare loro nuovamente un URL di conferma tramite e-mail. Non sono necessarie password.