Şifre güvenliği değişiyor - ve Ulusal Standartlar ve Teknoloji Enstitüsü'nden (NIST) güncel olmayan uygulamaları daha etkili korumalar lehine güncelleyen yönergeler.
35.000 kelimelik kuralları okumak için zamanınız yok mu? Sorun değil. İşte NIST’in kuruluşunuzun işe yarayan şifre politikaları oluşturmak için bilmesi gereken yeni rehberliğinden altı paket.
Kuruluşlar, yıllarca, kullanıcıların çatlaması zor olan şifreler oluşturmak için üst ve küçük harf, sayılar ve semboller içermesini gerektiren katı bir formül izleyen şifre politikaları oluşturdular.
Ancak NIST’in araştırması bu yaklaşımda bir kusuru vurgulamaktadır: insanlar öngörülebilir ve genellikle “karmaşık” şifreler geliştirirken öngörülebilir (ve tahmin edilmesi kolay) kalıpları takip eder.
Örneğin, kullanıcılar sık sık:
Bu ne anlama gelir? Karmaşık görünebilen (ve şifre politikası gereksinimlerine uyabilecek) şifreler, bilgisayar korsanlarının çatlaması nispeten kolaydır, çünkü öngörülebilir bir paterni takip ederler.
Kullanıcıların daha güçlü şifreler oluşturmasına yardımcı olmak için NIST, şifre karmaşıklığı yerine şifre uzunluğunun uygulanmasını önerir. Kullanıcılardan rastgele, hatırlanması zor bir harf, sayı ve sembol kombinasyonu bulmalarını istemek yerine, onları hatırlaması kolay ancak bilgisayar korsanlarının tahmin etmesi daha zor olan daha uzun şifreler veya parolalar oluşturmaya çağırın.
En iyi parolalar, ilgisiz kelimeleri tek, daha uzun bir parola ile birleştirir. Örneğin, “Lama-Shoehorn-Trumpet7” gibi bir parola, bir kullanıcının hatırlaması “HPN & 897*K” gibi rastgele bir şifreden çok daha kolay olacaktır ve hacklemek, öngörülebilir kalıpları izleyen şifrelerden daha zor olacaktır.
Yukarıdaki rehberliğe dayanarak, NIST’in son revizyonu güvenlik araştırmacılarının uzun zamandır şüphelendiğini doğrular: Parola uzunluğu en önemli şifre güvenlik ölçüsüdür. Specops'un bulguları bu sonucu güçlendirir, ancak birçok şirket şifre karakter sınırları uygulayarak güvenliklerini zayıflatır.
Güvenlik koruma şifrelerinin sağladığı en üst düzeye çıkarmak için, şifre politikalarınız uzun parolaları karşılayabilmelidir.
NIST, çoğu kullanıcının ihtiyaç duyacağının çok ötesinde, ancak maksimum güvenliğe öncelik verenler için çok önemli olan 64 karaktere kadar desteklenmenizi önerir.
Daha uzun parolalar çatlama zorluğunu arttırırken, yenilmez değildirler-64 karakterli bir parola bile şifre yeniden kullanımı veya kötü amaçlı yazılım tarafından çalınarak tehlikeye girebilir.
Bununla birlikte, uzun şifreler daha kısa meslektaşlarından daha fazla koruma sağlar. Kullanıcılarınıza, 15 veya 50 karakter olup olmadığına bakılmaksızın güvenlik ihtiyaçlarını karşılayan bir parola kullanma esnekliği verin.
Microsoft Research, ihlal edilen hesapların% 99'unun MFA içermediğini gösteriyor. Ancak birçok kuruluş hala MFA'yı bir zorunluluktan ziyade bir lüks olarak görüyor.
NIST, bu konudaki rehberliği ile kelimeleri küçümsemiyor: MFA artık isteğe bağlı değil, şifreler kaçınılmaz olarak başarısız olduğunda olmazsa olmaz bir savunma hattıdır.
NIST yönergelerine uyum sağlamak için tek faktörlü kimlik doğrulamaya yapışmayın. MFA uygulayarak, düzenli olarak sömürülen bir güvenlik açığını kapatacaksınız.
Son kullanıcılar şifrelerini değiştirmek zorunda kalmaktan hoşlanmazlar, bu nedenle NIST'in uzlaşma kanıtı olmadığı sürece kuruluşları zorunlu şifre son kullanma işlemini bırakmaya çağırdığını duymaktan memnuniyet duyarlar.
NIST, sık sık şifre değişikliklerinin, kullanıcıların “yeni” şifre gereksinimini karşılamak için minimum şifre ayarlarına başvurdukları için genellikle daha zayıf, daha güçlü bir güvenliğe yol açtığını ileri sürer.
Ancak şifre son kullanma politikalarının tamamen öne çıkması, ters yönde çok fazla sallanabilir.
Specops'ta nüanslı bir yaklaşım öneriyoruz: temel önlemleri korurken gerekli değişiklikler arasındaki süreyi uzatmak. Kullanıcılar sağlam şifreler ve kuruluşlar oluşturduklarında, uzlaşma algılama araçlarını dağıttığında, daha uzun son kullanma pencereleri sadece kabul edilebilir değil, tercih edilebilir hale gelir.
NIST'in en son rehberliği basittir - kuruluşlar, bilinen tehlikeye atılan kimlik bilgilerinin veritabanlarına karşı yeni şifreleri göstermelidir.
Neden? Çünkü bu maruz kalan şifreler, saldırılarını hızlandırmak için ihlal edilen kimlik bilgilerinin büyük listelerinden yararlanan saldırganlar için iskelet anahtarları haline gelir.
Kullanıcılar, tercih edilen şifrelerinin önceki ihlallerde ne zaman maruz kaldığını nadiren bilirler. Zaten ceza veritabanlarında dolaşan olduğunun farkında olmadan güçlü bir şifre gibi görünen şeyleri güvenle yeniden kullanabilirler.
Bu uzlaştırılmış şifreleri proaktif olarak engelleyerek, kuruluşunuz bilgisayar korsanları kullanmadan önce favori bir saldırı vektörünü kapatabilir.
Kuruluşunuzun maruziyetini değerlendirmek ister misiniz? Ücretsiz SpecOps şifre denetçimiz, Active Directory şifre güvenlik açıklarınıza anında görünürlük sağlar.
İlk evcil hayvanınızın adı nedir? Lise maskotunuz neydi? Annenizin kızlık soyadı ne?
Şifre ipuçları ve bunlar gibi güvenlik soruları yaşlarını gösterir. Ve NIST'in son rehberliği, kuruluşları bu geleneksel iyileşme yöntemlerinden vazgeçmeye çağırıyor çünkü çevrimiçi yaşamlarımız onları eski haline getirdi.
Kişisel bilgilerinizin ne kadarının sosyal medyada özgürce aktığını düşünün. Bir zamanlar özel bilgi gibi görünen şey artık düz bir görünümde oturuyor, toplanmayı ve sömürülmeyi bekliyor.
İpuçları yerine, NIST, şifre sıfırlamaları sırasında güvenli e -posta kurtarma bağlantıları ve MFA doğrulaması dahil olmak üzere alternatifler önerir.
Bu yaklaşımlar, kullanıcıların kolayca keşfedilen kişisel trivia'dan ziyade cihazlara veya hesaplara fiziksel erişim yoluyla kimliklerini doğrulamalarını sağlar.
Kuruluşunuzu NIST yönergeleriyle hizalamayı mı hedefliyorsunuz?
SPECOPS şifre politikasını ücretsiz deneyin ve BT ekibiniz için bu basit adımların altısına uyum sağlayın.
Sponspored ve SpecOps Software tarafından yazılmıştır.
Kaynak: Bleeping Computer