답변:
다음은 SANS 일기와 다른 내용입니다.
비밀번호 규칙 : 25 년마다 변경
한 가지 실질적인 이점이 있습니다. 누군가 비밀번호가 있고 원하는 것은 이메일을 읽고 탐지되지 않은 상태로 남아 있으면 결국 로그인 비밀을 변경하지 않는 한 영구적으로 그렇게 할 수 있습니다. 따라서 정기적으로 비밀번호를 변경해도 다른 사람이 물건을 훔쳐가는 데 큰 도움이되지는 않지만 계정에 액세스 할 수있는 스토커 나 스 누퍼를 차단할 수 있습니다. 예, 좋습니다. 그러나이 이점만으로도 사용자가 90 일마다 암호를 변경하도록하는 번거 로움과 단점이 있는지 여부는 의심의 여지가 있습니다.
비밀번호를 추측 할 때 비밀번호를 강제로 변경하십시오 (항상 모든 사용자에 대해 비밀번호 추측 프로그램을 실행하여).
"왜?"에 대한 답변이 "암호를 변경해야합니다"라고 논쟁하기는 어렵습니다. "우리가 맹인을 추측 할 수 있었기 때문에"입니다. 암호를 추측하기 어려운 사람들에게 자동으로 보상하고 사용자에게 암호가 약한 것을 알려줍니다. "password1"을 선택하면 한 번 로그인하기 전에 만료됩니다. 사용자가 16 자의 임의의 대소 문자를 혼합 한 영숫자 암호를 선택하면 추측 할 수 없으며 다른 사람도 암호를 추측하지 않습니다. 그것을 아주 오랫동안 유지하자, 그들은 그것을 암기 할 수도있을 것입니다.
암호가 충분히 복잡하여 쉽게 추측 할 수없고 시스템간에 공유되지 않고 암호가 손상되지 않았을 경우 암호 변경이 그다지 중요하지는 않습니다.
그러나이 중 하나가 발생하고 처음 두 개가 그렇지 않은 경우보다 더 일반적 일 수 있으므로 사람들이 주기적으로 암호를 변경하도록하면 암호를 최소한 공유 할 가능성이 줄어 듭니다.
즉, 좋은 비밀번호의 의미와 공유가 매우 나쁜 이유에 대해 사용자에게 교육하기로 결정했습니다. 당신이 무엇을 하든지 적어 두는 것이 일반적입니다.
익숙하지 않은 인용구를 기억하거나 문구를 만들어 사람들이 알고있는 책에서 비밀번호를 선택하는 것이 좋습니다. 각 단어의 첫 글자를 사용하고 그 안에 어딘가에 두 개의 숫자를 추가하십시오. 대부분의 사람들은 몇 번 입력 한 후 기억합니다.
나는 그 연습에서 전혀 혜택을 볼 수 없습니다.
강력한 암호가 훨씬 중요합니다. 강력하다는 것은 9 개 이상의 영숫자 + 특수 기호 또는 15 개 이상의 [az] 전용 사전이 아닌 암호 / 구를 의미합니다 (이는 Amazon의 EC2를 사용하는 무차별 암호 비용에 대한 최근 연구를 기반으로 함).
원격 액세스 시스템에는 노출 된 모든 서비스에 대한 무차별 탐지 및 방지 소프트웨어 (예 : fail2ban)가 있어야합니다. 이것은 일반적인 암호 변경 정책보다 훨씬 중요합니다.
기본적인 문제는 보안 메커니즘으로서 암호가 악취가 나는 것입니다.
사람들에게 자주 변경하도록 요청하면 기록합니다. 최소 3 개의 숫자, 4 개의 대문자 및 제어 문자가 포함 된 30 자의 암호를 사용하도록 요청하면 암호를 잊어 버리거나 적어 놓거나 다른 어리석은 일을합니다. 간단하다면 사용자는 bunny7 또는 Bunny7과 같은 바보 같은 암호를 사용합니다. 그리고 포르노 계정과 핫메일 계정을 포함하여 모든 것에 동일한 나쁜 암호를 사용합니다.
사용자가 휴대 전화를 2 단계 인증 도구로 사용할 수있는 Mobile OTP 와 같은 도구가 마음에 듭니다 .
장기적으로, 우리는 어떻게 든 사용자 식별 메커니즘으로 암호화 된 인증서를 사용하여 세계에 착륙 할 가능성이 높습니다. OpenID 및 CAS 와 같은 것은 사용자 인증을 단순화하고 편리한 싱글 사인온을 허용합니다.
장기적으로 가장 좋은 방법은 사용자가 자격 증명을 발급해야하는 횟수를 줄이는 것입니다. "HR"암호와 "작업 표"암호 및 "CRM"암호를 제거하십시오. 사용자가 자격 증명을 한 번 발급해야하는 공통 인증 인프라로 통합하십시오. 그런 다음 MobileOTP 또는 2 단계 인증을 사용 하는 RSA SecurID 와 같은 것을 사용하게하십시오.
단기적으로 암호 정책은 종교 전쟁의 주제가 될 것입니다. 상사가 요구하는대로하고 상사라면 사용자 기반 및 예상 보안 프로필을 기반으로 판단을 사용하십시오.
행운을 빕니다!
완전히 쓸모없는 것은 아니지만이 관행은 훨씬 더 중요했습니다. 이 정책에 대한 논의는 훨씬 심각한 현재의 위협으로부터주의를 돌리기 때문에 실제로는 비생산적입니다.
치다:
Windows / AD를 사용하고 계정에 "계정이 민감하고 위임 할 수 없음"확인란이 선택되어 있지 않으면 해당 계정을 가장을 통해 사용할 수 있으며 암호가 필요하지 않습니다. 이 작업을 수행하는 코드는 간단합니다.
개인의 Windows 워크 스테이션이 보안 취약점으로 인해 손상된 경우, 메모리 내 Windows 보안 토큰을 사용하여 다른 컴퓨터에 액세스 할 수 있습니다. 다시 한번, 비밀번호가 필요하지 않습니다.
그런데 두 번째는 일상적인 일반 사용자 계정과 다른 계정을 사용하는 서버에만 액세스해야하는 이유입니다. 또한 두 시나리오 모두 가장 강력한 2 단계 인증 메커니즘조차 완전히 물리칩니다.
암호 보안과 관련하여 발생할 수있는 최선의 방법은 암호 토론을 중단하고보다 현대적이고 심각한 위협에 집중하는 것입니다.
추가 정보:
Luke Jennings 프레젠테이션, "모든 것을 지배하는 하나의 토큰"을 확인하십시오.
http://eusecwest.com/esw08/esw08-jennings.pdf
Insomnia Shell-ASP.Net 서버에서 토큰을 손상시키는 데 필요한 코드의 예 :
http://www.insomniasec.com/releases/tools
방법 : ASP.NET 2.0에서 프로토콜 전환 및 제한 위임 사용
http://msdn.microsoft.com/en-us/library/ms998355.aspx
"비밀번호없이"를 검색하십시오.
암호가 변경되지 않으면 길수록 암호가 손상 될 가능성이 높아집니다. 단순히 암호가 손상 될 수있는 상황이 발생할 가능성이 더 높기 때문입니다 (무한한 시간이 주어지면). 또한 사용자가 이전 사용자에게 익숙해지기 때문에 향후 변경하기가 더 어려워집니다. 또 다른 위험은 훼손되고 사용자가 사실을 모르면 사용자 계정을 심각하게 오용 할 가능성이 있다는 것입니다. 주기적으로 변경하면 다음에 시행되는 암호 변경으로 인해 손상된 암호를 쓸모 없게 만들 수 있습니다.
내 경험상 사용자가 암호를 쓰도록 만들 가능성이 가장 높은 시나리오는 보안 인프라에서 고유 한 사용자 이름과 암호 콤보를 필요로하는 여러 다른 시스템을 사용하는 것과 같은 보안 사고에 참여하지 않는 것입니다. 사용자에게 그 중 5 개를 던지면 복수의 노란색 스티커 메모 증후군이 나타납니다.
암호 공유를 명시 적으로 금지하는 AUP에 의해 백업 된 우수한 사용자 교육, 견고한 통합 인증 및 적절한 잠금 및 만료 정책과 함께 사용자가 기억하기 쉽지만 해독하기 어려운 암호를 선택할 수있는 합리적인 암호 정책은 다음과 같습니다. 가장 좋은 방법.
자격 증명을 캐싱하는 경우 (대부분의 사람들이 가용성을 위해 수행)이 작업은 필수입니다. 컴퓨터를 물리적으로 도난 당하고 자격 증명 캐싱을 사용하도록 설정하면 계정 잠금 정책이 활성화 될 염려없이 도둑이 네트워크에서 시스템을 강제로 무력화시킬 수 있습니다. 그런 다음 네트워크 리소스에 대한 유효한 자격 증명을 갖습니다. 이 암호를 정기적으로 변경하면이 손상을 최소화 할 수 있습니다.
이것이 권한있는 계정으로 로그인하지 않고, 항상 제한된 사용자로 로그인하고 개별 프롬프트를 높이는 정확한 이유입니다. 이렇게하면 권한있는 자격 증명이 도난 / 파괴가 발생할 경우 무차별 적으로 강요되지 않습니다.
암호 변경을 요구하지 않는 캠프에 있습니다. 또는 기사가 말한 것처럼-25 년마다-그래 그때 나는 죽을거야. 좋은. 이유는 다음과 같습니다. 직장에서 기억해야 할 12 개의 암호가 있습니다. 그들 대부분은 변화하고 변화하는 것은 완전히 다른 스케줄에 있습니다. 그들은 모두 다른 강도 요구 사항이 있습니다. 연약한 인간은 어떻게이 문제에 대처할 수 있습니까? 내가 본 몇 가지 방법 : 화이트 보드에 적는다. 종이에 쓰고 자물쇠가없는 서랍에 보관하십시오. 또는 내가 선호하는 방법 : 상당히 안전하지 않은 Google 문서 스프레드 시트에 저장하십시오. 이러한 방법 (매우 일반적 임) 중 어느 것이라도 변경을 통해 얻은 작은 보안상의 이점을 완전히 상쇄하지는 않는다는 것을 확신 할 수있는 방법은 없습니다.
IT 지원 담당자가 내 계정 중 하나를 잠금 해제하기를 기다리는 중이므로이 게시물을 작성할 시간이 있습니다. 지난번에 스프레드 시트를 제대로 업데이트하지 않은 것 같습니다. 이 말도 안되는 금액 $ B $을 계산하는 연구가 있습니까?