Me encargaron elaborar la política de seguridad de la empresa. Como parte de esto, quiero definir qué es una contraseña segura pero segura (longitud, caracteres, etc.), con qué frecuencia deben cambiarse, la duración del historial de contraseñas, etc.
Obviamente necesito equilibrar la seguridad con la practicidad.
¿Qué suele considerar la gente como una buena política de contraseña?
Respuestas:
Wikipedia tiene un buen resumen sobre este tema
Práctica común de contraseñas Las políticas de contraseñas a menudo incluyen consejos sobre la gestión adecuada de contraseñas, tales como:
Sugerencias de TU Delft :
Características de contraseñas aceptables
Mejores prácticas para proteger contraseñas
Con la proliferación de keyloggers y ataques de phishing, puede ser conveniente que su organización considere alternativas a las contraseñas "seguras". Vea el blog de Bruce Schneier sobre el documento ¿Las contraseñas web fuertes logran algo?
Sugeriría encarecidamente utilizar la autenticación de dos factores. Entre balones de fútbol, SecureID y Yubikey , es muy fácil y relativamente económico implementar un segundo factor de autenticación.
Me gusta Passwordsafe para hacer un seguimiento de las contraseñas.
Mis sugerencias:
Fomentar frases de paso, no palabras. Una frase sin sentido compuesta por 3-4 palabras es más fácil de recordar que 8 caracteres confusos.
Establezca una vida útil máxima razonable. De 3 a 6 meses.
No confíe en 1337 speak para proteger una contraseña. Los atacantes de diccionario de fuerza bruta como Crack han estado haciendo cambios de letras-> números por cerca de 20 años. Pero requieren letras, números, mayúsculas y minúsculas y puntuación.
No confíe en palabras que no están en inglés para mayor seguridad. Cualquier tonto puede cargar múltiples diccionarios en un programa. No importa si habla el idioma o no.
Para cosas personales que uso
Debe elegir una frecuencia "sensible" para la frecuencia con la que deben cambiarse. Demasiado rápido y las personas se degenerarán <old_password>+<number>(o algo similar), muy lentamente y aumentará el riesgo de que la contraseña se vea comprometida. Puede valer la pena investigar si hay una regla que pueda establecer para protegerse contra esto.
Igualmente, debe tener una regla que diga que una contraseña no se puede reutilizar para tantos cambios (tal vez 10) para que las personas no solo intercambien entre dos (o tres) contraseñas por su cuenta.
Haga la contraseña al menos alfanumérica con al menos una mayúscula. Para hacerlo un poco más seguro, agregue que también debe haber al menos un carácter no alfanumérico.
Podría tener algo como un generador de contraseñas como SuperGenPass . Entonces podrían tener una contraseña débil pero la cadena generada sería extremadamente fuerte. Pero eso sería más para los inicios de sesión del sitio web.
Otras opciones serían:
El viernes tuve que cambiar mi contraseña en el sitio de mi cliente. Las reglas que tienen son ridículas. Son todos los estándares sobre mayúsculas, puntuación, longitud mínima, etc., así como.
El problema es que son tan complejos que es casi imposible encontrar uno, especialmente porque el mensaje de error no le indica los requisitos adicionales que tienen.
Llamé a la mesa de ayuda y me dijeron: solo use uno como este Pa5word # (no la contraseña real) y luego siga incrementando el número ...
Encuentro estos sistemas completamente locos, ya que le impiden usar frases de contraseña, por ejemplo, "thisismypasswordforjanurary" es muy fácil de recordar y muy seguro, pero la mayoría de los sistemas no permiten ese tipo de frases de contraseña.
Por lo tanto, votaría por una longitud mínima alta, digamos 15-20 caracteres de esa manera la gente no puede usar palabras y no se requieren contraseñas de estilo l33t.
Elija lo que elija, me aseguraría de documentar cuáles son las restricciones y por qué están allí y algunos ejemplos para que los usuarios los ayuden a generar otras seguras.
La mayoría de las respuestas aquí van directamente a sugerir políticas. Lo cual responde la pregunta, así que eso es bueno. Pero en mi opinión, debe preguntarse esto primero: ¿qué tan importante es la información que está protegiendo?
Por ejemplo, la política de contraseña para que el departamento de defensa asegure la información confidencial probablemente será bastante diferente de la política que usará para las cuentas de correo electrónico desechables.
Version corta:
La parte administrativa de mí dice contraseñas de 12-16 caracteres con letras minúsculas y mayúsculas y números. También debe tener una parte de texto aleatorio que no esté en ningún diccionario. Debería ser suficiente para prevenir ataques de fuerza bruta basados en la red.
Como usuario, me gustan las contraseñas que son fáciles de recordar, a pesar de que pueden ser largas (16 caracteres en adelante). Una vez que lo memorice, puedo escribirlo lo suficientemente rápido. Tal vez, en lugar de solo aplicar una política, debería encontrar formas inteligentes de enseñar a sus usuarios a elegir contraseñas seguras y fáciles de recordar, no solo fragmentos aleatorios de caracteres.