Γιατί πρέπει να ανταλλάξετε από passwords σε passphrases

Οι πιο πρόσφατες οδηγίες δείχνουν ότι η εστίασή μας θα πρέπει να είναι στο μήκος του κωδικού πρόσβασης και όχι στην πολυπλοκότητα. Το μήκος είναι ο πιο σημαντικός παράγοντας ασφαλείας και τα passphrases είναι ο απλούστερος τρόπος για να κάνετε τους χρήστες σας να δημιουργούν (και να θυμούνται!) μεγαλύτερους κωδικούς πρόσβασης.

Δείτε επίσης: Κωδικοί QR εκμεταλλεύονται σε νέα τεχνική malware

Γιατί τα passphrases κερδίζουν σε κάθε μέτωπο:

Λιγότερες επαναφορές. Όταν τα passphrases είναι αξιομνημόνευτα, οι χρήστες σταματούν να τα γράφουν σε σημειώσεις Post-it ή να ανακυκλώνουν παρόμοιες παραλλαγές σε όλους τους λογαριασμούς τους. Τα αιτήματα υποστήριξης μειώνονται, κάτι που από μόνο του θα πρέπει να δικαιολογεί την αλλαγή.

Καλύτερη αντίσταση σε επιθέσεις. Οι επιτιθέμενοι βελτιστοποιούν τα μοτίβα. Δοκιμάζουν λέξεις λεξικού με κοινές αντικαταστάσεις (@ για a, 0 για o) επειδή αυτό κάνουν οι άνθρωποι. Ένα passphrase τεσσάρων λέξεων παρακάμπτει εντελώς αυτά τα μοτίβα – αλλά μόνο όταν οι λέξεις είναι πραγματικά τυχαίες και άσχετες.

Σύμφωνα με τις τρέχουσες οδηγίες. Το NIST ήταν σαφές: δώστε προτεραιότητα στο μήκος έναντι της αναγκαστικής πολυπλοκότητας. Το παραδοσιακό ελάχιστο όριο των 8 χαρακτήρων θα πρέπει πραγματικά να αποτελεί παρελθόν.

Δείτε ακόμα: Το ransomware Akira παραβιάζει λογαριασμούς VPN SonicWall που προστατεύονται με MFA

Η πολιτική passwords του Active Directory χρειάζεται τρεις ενημερώσεις για να υποστηρίζει σωστά τα passphrases:

• Αυξήστε το ελάχιστο μήκος. Μετακινήστε από 8 σε 14+ χαρακτήρες. Αυτό προσαρμόζεται στις φράσεις πρόσβασης χωρίς να δημιουργεί προβλήματα για τους χρήστες που εξακολουθούν να προτιμούν τους παραδοσιακούς κωδικούς πρόσβασης.
• Κατάργηση των ελέγχων αναγκαστικής πολυπλοκότητας. Σταματήστε να απαιτούνται κεφαλαία γράμματα, αριθμοί και σύμβολα. Το μήκος προσφέρει καλύτερη ασφάλεια με λιγότερη τριβή με τον χρήστη.
• Αποκλεισμός παραβιασμένων διαπιστευτηρίων. Αυτό δεν είναι διαπραγματεύσιμο. Ακόμα και τα ισχυρότερα passphrases δεν βοηθούν εάν έχουν ήδη διαρρεύσει σε περίπτωση παραβίασης. Η πολιτική σας θα πρέπει να ελέγχει τις υποβολές σε σχέση με λίστες με γνωστά παραβιασμένα στοιχεία σε πραγματικό χρόνο.

Τα passphrases ωστόσο δεν είναι πανάκεια. Το MFA εξακολουθεί να έχει σημασία. Η παρακολούθηση παραβιασμένων διαπιστευτηρίων εξακολουθεί να έχει σημασία. Αλλά αν ξοδεύετε πόρους σε αλλαγές πολιτικής κωδικών πρόσβασης, να πού μπορείτε να τους ξοδέψετε: μεγαλύτερα ελάχιστα όρια, απλούστεροι κανόνες και πραγματική προστασία από παραβιασμένα διαπιστευτήρια.

Δείτε επίσης: Πώς να δημιουργήσεις ισχυρούς και εύκολους κωδικούς

Οι εισβολείς εξακολουθούν να κλέβουν hashes και να τους χρησιμοποιούν βίαια εκτός σύνδεσης. Αυτό που έχει αλλάξει είναι η κατανόησή μας για το τι τους επιβραδύνει πραγματικά, επομένως η επόμενη πολιτική κωδικών πρόσβασης θα πρέπει να το αντικατοπτρίζει αυτό.