Gli account di servizio devono essere impostati per non bloccarsi mai

Il blocco automatico è un meccanismo di difesa contro attacchi dizionario online : l'attaccante vuole provare potenziali password, ripetutamente, finché non trova quello giusto. Il blocco dopo 5 tentativi impedisce che l'attacco funzioni effettivamente.

Questo ha senso solo se la password è vulnerabile ad un attacco di dizionario, cioè se la password è stata generata nella privacy di un cervello umano. Tali entità biologiche semplicemente non sono buone per essere casuali. Quindi le password scelte dall'uomo non sono forti e richiedono una protezione extra.

Un account servizio non dovrebbe avere una password debole, scelta da un essere umano. Tale password viene inserita solo durante le fasi di configurazione, dagli amministratori, che non devono ricordarlo. Una password dell'account di servizio dovrebbe essere generata con un computer ed essere fatalmente casuale. Con 16 caratteri casuali (lettere maiuscole e minuscole, cifre e un paio di segni di punteggiatura), avrai 96 bit di entropia, molto più che sufficienti per resistere agli attacchi del dizionario. Questo è il tipo di password che dovrebbe avere il tuo account di servizio. Se usi queste password, il blocco automatico diventa inutile e puoi disattivarlo, poiché (come hai scoperto) ha alcuni effetti collaterali non convenienti.

Per generare una password casuale, utilizzare la seguente riga di comando su qualsiasi macchina Linux:

(dd if=/dev/urandom bs=12 count=1 2>/dev/null) | openssl base64 -a -e

Su Windows, usa PowerShell:

$rng = New-Object System.Security.Cryptography.RNGCryptoServiceProvider
$buf = New-Object byte[] 12
$rng.GetBytes($buf)
[System.Convert]::ToBase64String($buf)

Penso che i benefici superino l'irritazione di un utente che viene bloccato. Sì, un dipendente canaglia ti può fare, ma ora hai un problema che puoi gestire. Devi trovare questo dipendente canaglia e fargli una bella chiacchierata. Questo è molto meglio del bruto dipendente furioso che costringe password deboli. Se stai riscontrando un problema con il blocco di 5 tentativi, spingilo a 10. Il numero è abbastanza basso da non doverlo trarre in inganno.