Questa domanda è abbastanza semplice, ma mi infastidisce e sono sicuro che infetta anche molte altre persone.
Qual è il vantaggio di sicurezza reale per costringere gli utenti a cambiare la propria password, diciamo ogni 60 giorni o ogni 90 giorni?
Vantaggi
- Le credenziali compromesse sono inutili dopo un breve periodo di tempo.
Inconvenienti
- L'utente ricorre a schemi di incremento password facili da ricordare- password1 , password2 , passwordN .
- L'utente è costretto ad esporre le password su altri supporti per richiamarle- post-it note, altri dispositivi, ecc.
- L'utente deve fare riferimento alle password esposte aumentando i vettori per l'attacco, rispetto a una password richiamata dalla memoria.
Sembra che ci siano più svantaggi dei vantaggi, quindi perché questa pratica della sicurezza è così diffusa?
Aggiornamento da articolo FTC che condivide alcune delle mie preoccupazioni:
The Carleton researchers also point out that an attacker who already knows a user’s password is unlikely to be thwarted by a password change. As the UNC researchers demonstrated, once an attacker knows a password, they are often able to guess the user’s next password fairly easily. In addition, an attacker who has gained access to a user’s account once may be able to install a key logger or other malware that will allow them to continue to access the system, even if the user changes their password.
Allo stesso modo, condividono la stessa ipotesi.
While we don’t yet have a controlled study demonstrating the impact of password expiration policies on user behavior, there is quite a bit of evidence to suggest that these policies may be counterproductive.
Link: Tempo per ripensare alle modifiche obbligatorie della password