Ci sono due lati della complessità della password, dal lato dell'amministratore e dal lato degli utenti. Sono requisiti effettivamente disgiunti. La buona complessità e le politiche delle password sono spesso discusse. Ma non ho visto nessuna buona guida o best practice per gli utenti. Tutto ciò che è disponibile sono sempre le best practice del punto di vista dell'amministratore: crea una password lunga complessa e casuale e cambialo ogni giorno ...
Alla fine, i requisiti e le politiche più complessi sono tanto più gli utenti cercheranno di aggirarli facendo semplici password, scrivendole, ecc. ma non sono i loro dati che vogliono proteggere e, in definitiva, una volta che la sicurezza è violato, non si recuperano le perdite.
Sono stato in entrambe le situazioni, come amministratore e ora come utente che è costretto a zero cronologia delle password, complessità e cambio ogni 60 giorni. Inoltre ho le altre 10 password complesse da ricordare. Così ho iniziato a utilizzare semplici sequenze alfanumeriche come: pou987^ o opqR678( . So che è male, ma che diavolo, il mio cervello è limitato e sta invecchiando.
Esiste una buona guida per costruire password non casuali che tengano conto della cronologia zero che può essere ricordata? (Non ho bisogno che la password sia ultra strong, so che non si può fare, ma ci sono altre barriere in atto, firewall, numero limitato di tentativi di password, restrizione di accesso fisico, quindi voglio che la password sia considerata strong con questi ulteriori ostacoli in atto.)
Che cosa dovrei suggerire ai miei utenti, come amministratore? Come dovrebbero avvicinarsi alla creazione della password (scusate ma NESSUNO in azienda ricorderà cose come gZ9]Rjm}t5d? che è ancora considerato debole e le password forti iniziano con 16 caratteri, che è un'idiota)?