정기적으로 변경되는 비밀번호 정책에 보안 이점이 있습니까?


14

몇 가지 사례에서 사용자가 비밀번호를 정기적으로 변경하도록 강요하면 보안에 대한 도움이 아니라 유지 관리에 부담이 가중됩니다. 또한 사용자가 비밀번호를 기억할 시간이 충분하지 않고 다른 비밀번호를 다시 배우지 않아도되기 때문에 사용자가 새 비밀번호를 작성하는 것을 보았습니다.

암호를 변경하면 어떤 보안 이점이 있습니까?

답변:


8

다음은 SANS 일기와 다른 내용입니다.
비밀번호 규칙 : 25 년마다 변경

한 가지 실질적인 이점이 있습니다. 누군가 비밀번호가 있고 원하는 것은 이메일을 읽고 탐지되지 않은 상태로 남아 있으면 결국 로그인 비밀을 변경하지 않는 한 영구적으로 그렇게 할 수 있습니다. 따라서 정기적으로 비밀번호를 변경해도 다른 사람이 물건을 훔쳐가는 데 큰 도움이되지는 않지만 계정에 액세스 할 수있는 스토커 나 스 누퍼를 차단할 수 있습니다. 예, 좋습니다. 그러나이 이점만으로도 사용자가 90 일마다 암호를 변경하도록하는 번거 로움과 단점이 있는지 여부는 의심의 여지가 있습니다.


그리고이 기사는 한 가지 핵심 요점을 놓치고 있습니다. 비밀번호를 변경하지 않아도 모든 사람이 다른 사람의 비밀번호를 알게됩니다. 내부 위협은 외부 위협보다 훨씬 위험합니다.
Doug Luxem

@DLux, 왜 사용자가 절대로 비밀번호를 변경하지 않을 것이라고 가정합니까? 시간이 지남에 따라 사람들은 자신이 볼 수있는 가치에 따라 리소스를 보호하는 법을 배워야합니다 (행정 시행이 아닌). 선제 적으로 강제로 사용하는 경우 사용자는 변경 후 동일한 비밀번호를 유지하는 방법을 검색하고 찾을 가능성이 높습니다. 그들은 정말로 원할 때만 암호를 변경합니다.
nik

1
사용자가 서로 비밀번호를 공유한다는 것은 사실입니다. 가끔 변경을 요구하면 공유에 장애가됩니다 (즉, 공유 암호가 작동을 멈춤). 사용자가 암호를 공유하고 있다고 생각하지 않는다면 암호를 잘 모르는 것 같습니다.
Doug Luxem

1
@DLux, 나는 그들이 암호를 공유 할 때, 알고있는 사람들이 강제로 암호를 변경했을 때, 그리고 아마도 미리 정의 된 패턴으로 암호를 변경할 것이라는 것을 알기에 충분히 알고 있습니다. 인간의 마음의 사회 공학을 설명하는 알고리즘을 설계하는 것은 매우 어렵습니다. 괴델 종류의 어딘가에 불완전 성이 있습니다.
nik

11

비밀번호를 추측 할 때 비밀번호를 강제로 변경하십시오 (항상 모든 사용자에 대해 비밀번호 추측 프로그램을 실행하여).

"왜?"에 대한 답변이 "암호를 변경해야합니다"라고 논쟁하기는 어렵습니다. "우리가 맹인을 추측 할 수 있었기 때문에"입니다. 암호를 추측하기 어려운 사람들에게 자동으로 보상하고 사용자에게 암호가 약한 것을 알려줍니다. "password1"을 선택하면 한 번 로그인하기 전에 만료됩니다. 사용자가 16 자의 임의의 대소 문자를 혼합 한 영숫자 암호를 선택하면 추측 할 수 없으며 다른 사람도 암호를 추측하지 않습니다. 그것을 아주 오랫동안 유지하자, 그들은 그것을 암기 할 수도있을 것입니다.


훌륭합니다. 사악하지만 훌륭합니다.
acolyte

6

트레이드 오프입니다. 빈번한 암호 변경이 필요하면 암호 품질이 떨어집니다. 이 효과에 대한 연구도있었습니다.

즉, 사용자가 암호를 공유하지 못하게하는 유일한 방법은 정기적 인 암호 변경을 요구하는 것입니다. 내 경험에 따르면 90 일은 사용 성과 보안 사이에서 적절한 타협으로 보입니다. 더 오래 갈수록 사람들은 공유 암호에 더 빨리 의존하기 시작하고 "11 월 09", "12 월 09"로 끝납니다.


5

암호를 변경하는 가장 나쁜 점은 사람들이 실제로 암호를 변경하게하는 것이 아닙니다. 일반적으로 경고가 거의 또는 전혀 없으며, 즉시 처리해야하는 문제에 즉시 부딪 히므로 누군가에게 좋은 암호를 생각할 시간을주는 대신 보안 성이 떨어질 가능성이 높습니다 기억하기가 더 쉬워 지거나 더 안전하지만 보안 기능이 무효화됩니다.


3
표준 AD 상황에서는 로그인 할 때마다 15 일 동안 경고 메시지가 표시됩니다.
MDMarra

2

암호가 충분히 복잡하여 쉽게 추측 할 수없고 시스템간에 공유되지 않고 암호가 손상되지 않았을 경우 암호 변경이 그다지 중요하지는 않습니다.

그러나이 중 하나가 발생하고 처음 두 개가 그렇지 않은 경우보다 더 일반적 일 수 있으므로 사람들이 주기적으로 암호를 변경하도록하면 암호를 최소한 공유 할 가능성이 줄어 듭니다.

즉, 좋은 비밀번호의 의미와 공유가 매우 나쁜 이유에 대해 사용자에게 교육하기로 결정했습니다. 당신이 무엇을 하든지 적어 두는 것이 일반적입니다.

익숙하지 않은 인용구를 기억하거나 문구를 만들어 사람들이 알고있는 책에서 비밀번호를 선택하는 것이 좋습니다. 각 단어의 첫 글자를 사용하고 그 안에 어딘가에 두 개의 숫자를 추가하십시오. 대부분의 사람들은 몇 번 입력 한 후 기억합니다.


2

나는 그 연습에서 전혀 혜택을 볼 수 없습니다.

강력한 암호가 훨씬 중요합니다. 강력하다는 것은 9 개 이상의 영숫자 + 특수 기호 또는 15 개 이상의 [az] 전용 사전이 아닌 암호 / 구를 의미합니다 (이는 Amazon의 EC2를 사용하는 무차별 암호 비용에 대한 최근 연구를 기반으로 함).

원격 액세스 시스템에는 노출 된 모든 서비스에 대한 무차별 탐지 ​​및 방지 소프트웨어 (예 : fail2ban)가 있어야합니다. 이것은 일반적인 암호 변경 정책보다 훨씬 중요합니다.


그러나 무차별 대입 공격은 공격자가 암호화 된 비밀번호의 사본을 가지고 있다고 가정합니다. 얼마나 자주 그렇게됩니까?
chris

암호 파일 (말한대로) 또는 암호 인증을 통해 노출 된 네트워크 서비스에 대해 무차별 대입 공격을 실행할 수 있습니다. 암호 파일을 얻으려면 대상 시스템 (물리적 또는 원격)에 대한 최소한의 액세스 수준이 필요하며 암호 해독 대신 해당 시점에서 익스플로잇을 사용하는 것이 매우 실행 가능하고 효율적인 옵션이라고 생각합니다. 결론적으로, 누군가가 암호화 된 암호의 사본을받을 가능성은 다른 접근 방식을 사용하여 대상 시스템에 무단으로 액세스하는 사람과 거의 동일하다고 생각합니다 (그러나 증명할 수는 없습니다).
chronos

암호에 대한 감시는 암호화 된 암호를 공격하는 것보다 훨씬 느립니다. 일반적으로 암호화 된 암호를 가지고 있다면 이미 관리자 수준의 액세스 권한이나 물리적 제어 권한이 있습니다.
chris

그것은 내가 말하는 것입니다 :) 나는 단지 원격 공격과 암호 해독 모두에 "bruteforce"를 사용하고 있습니다.
chronos

2

기본적인 문제는 보안 메커니즘으로서 암호가 악취가 나는 것입니다.

사람들에게 자주 변경하도록 요청하면 기록합니다. 최소 3 개의 숫자, 4 개의 대문자 및 제어 문자가 포함 된 30 자의 암호를 사용하도록 요청하면 암호를 잊어 버리거나 적어 놓거나 다른 어리석은 일을합니다. 간단하다면 사용자는 bunny7 또는 Bunny7과 같은 바보 같은 암호를 사용합니다. 그리고 포르노 계정과 핫메일 계정을 포함하여 모든 것에 동일한 나쁜 암호를 사용합니다.

사용자가 휴대 전화를 2 단계 인증 도구로 사용할 수있는 Mobile OTP 와 같은 도구가 마음에 듭니다 .

장기적으로, 우리는 어떻게 든 사용자 식별 메커니즘으로 암호화 된 인증서를 사용하여 세계에 착륙 할 가능성이 높습니다. OpenIDCAS 와 같은 것은 사용자 인증을 단순화하고 편리한 싱글 사인온을 허용합니다.

장기적으로 가장 좋은 방법은 사용자가 자격 증명을 발급해야하는 횟수를 줄이는 것입니다. "HR"암호와 "작업 표"암호 및 "CRM"암호를 제거하십시오. 사용자가 자격 증명을 한 번 발급해야하는 공통 인증 인프라로 통합하십시오. 그런 다음 MobileOTP 또는 2 단계 인증을 사용 하는 RSA SecurID 와 같은 것을 사용하게하십시오.

단기적으로 암호 정책은 종교 전쟁의 주제가 될 것입니다. 상사가 요구하는대로하고 상사라면 사용자 기반 및 예상 보안 프로필을 기반으로 판단을 사용하십시오.

행운을 빕니다!


1

완전히 쓸모없는 것은 아니지만이 관행은 훨씬 더 중요했습니다. 이 정책에 대한 논의는 훨씬 심각한 현재의 위협으로부터주의를 돌리기 때문에 실제로는 비생산적입니다.

치다:

  • Windows / AD를 사용하고 계정에 "계정이 민감하고 위임 할 수 없음"확인란이 선택되어 있지 않으면 해당 계정을 가장을 통해 사용할 수 있으며 암호가 필요하지 않습니다. 이 작업을 수행하는 코드는 간단합니다.

  • 개인의 Windows 워크 스테이션이 보안 취약점으로 인해 손상된 경우, 메모리 내 Windows 보안 토큰을 사용하여 다른 컴퓨터에 액세스 할 수 있습니다. 다시 한번, 비밀번호가 필요하지 않습니다.

그런데 두 번째는 일상적인 일반 사용자 계정과 다른 계정을 사용하는 서버에만 액세스해야하는 이유입니다. 또한 두 시나리오 모두 가장 강력한 2 단계 인증 메커니즘조차 완전히 물리칩니다.

암호 보안과 관련하여 발생할 수있는 최선의 방법은 암호 토론을 중단하고보다 현대적이고 심각한 위협에 집중하는 것입니다.

추가 정보:

Luke Jennings 프레젠테이션, "모든 것을 지배하는 하나의 토큰"을 확인하십시오.

http://eusecwest.com/esw08/esw08-jennings.pdf

Insomnia Shell-ASP.Net 서버에서 토큰을 손상시키는 데 필요한 코드의 예 :

http://www.insomniasec.com/releases/tools

방법 : ASP.NET 2.0에서 프로토콜 전환 및 제한 위임 사용

http://msdn.microsoft.com/en-us/library/ms998355.aspx

"비밀번호없이"를 검색하십시오.


0

암호가 변경되지 않으면 길수록 암호가 손상 될 가능성이 높아집니다. 단순히 암호가 손상 될 수있는 상황이 발생할 가능성이 더 높기 때문입니다 (무한한 시간이 주어지면). 또한 사용자가 이전 사용자에게 익숙해지기 때문에 향후 변경하기가 더 어려워집니다. 또 다른 위험은 훼손되고 사용자가 사실을 모르면 사용자 계정을 심각하게 오용 할 가능성이 있다는 것입니다. 주기적으로 변경하면 다음에 시행되는 암호 변경으로 인해 손상된 암호를 쓸모 없게 만들 수 있습니다.

내 경험상 사용자가 암호를 쓰도록 만들 가능성이 가장 높은 시나리오는 보안 인프라에서 고유 한 사용자 이름과 암호 콤보를 필요로하는 여러 다른 시스템을 사용하는 것과 같은 보안 사고에 참여하지 않는 것입니다. 사용자에게 그 중 5 개를 던지면 복수의 노란색 스티커 메모 증후군이 나타납니다.

암호 공유를 명시 적으로 금지하는 AUP에 의해 백업 된 우수한 사용자 교육, 견고한 통합 인증 및 적절한 잠금 및 만료 정책과 함께 사용자가 기억하기 쉽지만 해독하기 어려운 암호를 선택할 수있는 합리적인 암호 정책은 다음과 같습니다. 가장 좋은 방법.


간단히 becuase? 설명 해주십시오 ! 시스템이 지속적인 타사 공격을 받습니까? 아마도 어떤 종류의 IDS가 암호 변경 대신 순서대로되어 있습니까?
Tim Williscroft

이 시스템 이 시스템 이라고 말한 적이 없지만, "실제 최종 사용자"로 알려진 악의적 인 소름 끼치는 악의적이며 악의적이며 비참한 하이브가 적용됩니다. 사용자는 게으르고 보안에 신경 쓰지 않으며 ( "다른 사람의 문제") 가능한 한 쉽게 모든 것을 만들기를 원합니다. 그것은 균형 잡기 행동에 관한 것입니다.
Maximus Minimus

0

자격 증명을 캐싱하는 경우 (대부분의 사람들이 가용성을 위해 수행)이 작업은 필수입니다. 컴퓨터를 물리적으로 도난 당하고 자격 증명 캐싱을 사용하도록 설정하면 계정 잠금 정책이 활성화 될 염려없이 도둑이 네트워크에서 시스템을 강제로 무력화시킬 수 있습니다. 그런 다음 네트워크 리소스에 대한 유효한 자격 증명을 갖습니다. 이 암호를 정기적으로 변경하면이 손상을 최소화 할 수 있습니다.

이것이 권한있는 계정으로 로그인하지 않고, 항상 제한된 사용자로 로그인하고 개별 프롬프트를 높이는 정확한 이유입니다. 이렇게하면 권한있는 자격 증명이 도난 / 파괴가 발생할 경우 무차별 적으로 강요되지 않습니다.


1
정기적으로 암호를 변경하면 도난당한 컴퓨터에는 큰 도움이되지 않습니다. 다른 사람이 비밀번호를 훔치기 전에 항상 비밀번호가 만료되도록하지 않는 한 ... : P 가장 어리석은 해커 만이 악용하기 전에 액세스 한 후 며칠 기다릴 것입니다 ....
Stein G. Strindhaug

0

암호 변경을 요구하지 않는 캠프에 있습니다. 또는 기사가 말한 것처럼-25 년마다-그래 그때 나는 죽을거야. 좋은. 이유는 다음과 같습니다. 직장에서 기억해야 할 12 개의 암호가 있습니다. 그들 대부분은 변화하고 변화하는 것은 완전히 다른 스케줄에 있습니다. 그들은 모두 다른 강도 요구 사항이 있습니다. 연약한 인간은 어떻게이 문제에 대처할 수 있습니까? 내가 본 몇 가지 방법 : 화이트 보드에 적는다. 종이에 쓰고 자물쇠가없는 서랍에 보관하십시오. 또는 내가 선호하는 방법 : 상당히 안전하지 않은 Google 문서 스프레드 시트에 저장하십시오. 이러한 방법 (매우 일반적 임) 중 어느 것이라도 변경을 통해 얻은 작은 보안상의 이점을 완전히 상쇄하지는 않는다는 것을 확신 할 수있는 방법은 없습니다.

IT 지원 담당자가 내 계정 중 하나를 잠금 해제하기를 기다리는 중이므로이 게시물을 작성할 시간이 있습니다. 지난번에 스프레드 시트를 제대로 업데이트하지 않은 것 같습니다. 이 말도 안되는 금액 $ B $을 계산하는 연구가 있습니까?

당사 사이트를 사용함과 동시에 당사의 쿠키 정책개인정보 보호정책을 읽고 이해하였음을 인정하는 것으로 간주합니다.
Licensed under cc by-sa 3.0 with attribution required.