每90天更改一次密码如何提高安全性？

#1 楼

存在密码过期策略的原因是为了缓解攻击者获取您的系统密码哈希并将其破坏时可能发生的问题。这些策略还有助于最大程度地减少与将较旧的备份丢失给攻击者相关的风险。

例如，如果攻击者闯入并获取了您的影子密码文件，则他们可能会开始强行强制攻击。密码，而无需进一步访问系统。一旦他们知道了您的密码，他们便可以访问系统并安装所需的任何后门，除非您在攻击者获取影子密码文件到他们能够暴力破解密码哈希之间恰好更改了密码。如果密码散列算法足够安全，可以阻止攻击者使用90天，那么密码过期将确保攻击者不会从影子密码文件中获得任何其他有价值的信息，只有已获得的用户帐户列表除外。 br />
虽然主管的管理员将保护实际的影子密码文件，但整个组织对于备份尤其是较旧的备份往往比较松懈。当然，理想情况下，当然，每个人对于6个月前备份的磁带和生产数据都应同样小心。但是，实际上，一些较旧的磁带不可避免地会在大型组织中放错位置，放错文件或丢失。密码过期策略可以限制因旧备份丢失而造成的损坏，其原因与减轻实时系统中密码哈希的危害相同。如果丢失了6个月的备份，则说明您正在加密敏感信息，并且自备份以来所有密码都已过期，除了用户帐户列表之外，您可能什么都没有丢失。

#2 楼

我之前曾说过，它并没有任何改善。在该帖子中：


显然，攻击者不知道您的密码是先验的，否则攻击不会是蛮力的；因此猜测
与您的密码无关。您
不知道攻击者拥有什么，
没有，或者下一步将进行测试-您知道的是
攻击者将在足够的时间耗尽所有可能的猜测。因此，
您的密码与
猜测分布无关。

您的密码与攻击者对您的密码进行猜测
独立。即使您先更改了
密码，
攻击者的下一个猜测正确的可能性也相同。密码过期策略
无法缓解
暴力攻击。

那么为什么我们要强制密码
过期策略呢？其实，这是一个很好的问题。假设一个
攻击者确实获得了您的密码。

利用此机会的机会
这种情况取决于密码有效的时间
，对吗？
错误：攻击者获得密码后，就可以安装后门，创建另一个帐户或采取其他步骤，以确保继续访问。
更改密码后的事实
会击败一个不敢正直思考的攻击者，但是
最终应该发起更全面的
响应。因此，密码过期策略会烦扰我们的用户，并且不会帮助任何人。

#3 楼

在回答它是否有帮助之前，先看一下特定的情况。 （在进行安全度量时，通常是个好主意。）

在什么情况下强制更改密码可以减轻影响？

攻击者知道用户的密码但没有后门。他不想被发现，因此他自己也不会更改密码。

让我们看看这种情况是否可能发生：

他怎么会学到密码？ br />

受害者可能已经告诉过他（例如，一名新的实习生，他应该在自己设置帐户之前就开始工作，另一个人应该在在线游戏中注册一个帐户
攻击者可能已经看过键盘
攻击者可能已经访问了另一个密码数据库，其中用户使用了相同的密码
一次只能使用攻击者拥有（准备）的计算机登录。
/>
是什么原因阻止了他建立后门程序？
用户的特权可能没有足够的权限来安装后门
攻击者可能会缺少所需的知识（在在线游戏Stendhal中，大多数“骇客”已完成只是想破坏玩具的愤怒的兄弟姐妹）
攻击者可能还没有变成邪恶。 （例如，下个月将被解雇但目前不怀疑任何事情的员工）。

为什么不使用强制密码过期？

它会使用户非常烦恼使他们只在末尾添加一个计数器。这可能会降低密码的熵。根据我的经验，这会产生额外的支持费用，因为人们比平常更容易忘记新密码。我想这是由于更改密码提示导致他们在忙于思考其他事情时措手不及。

总结

它远非万能药，它对可用性有负面影响，但在与上述类似情况的可能性和影响之间取得平衡确实有意义。

#4 楼

Microsoft进行的一项研究得出结论，认为密码过期策略不会增加现实生活中的安全性。

这些文章已删除，但可以在Internet上找到：



请不要更改密码
研究：频繁的密码更改是没有用的

原文：这么长，并且不感谢外部性：
理性用户拒绝安全建议

#5 楼

我们都有自己的意见，但我们也应该寻求对该问题的实际研究。除了Microsoft的Cormac Herley在Suma的答案中提到的有关网站密码的论文之外，还有ACM CCS 2010的一篇论文：“现代密码到期的安全性：算法框架和实证分析”（pdf），由Fabian的Zhang Yinqian撰写。 Monrose和Michael Reiter。他们分析了一个很好的数据集，并对密码有效期策略的有效性进行了很好的分析。他们的结论？强迫用户每六个月更改一次密码不是很有用：


至少有41％的密码可以在几秒钟内从同一帐户的先前密码中脱机，和五个在线的
密码猜测期望足以破坏17％的帐户。同时要求用户花更多的精力来选择比其他方式要强得多的密码（例如，更长的密码）。 ....

从长远来看，我们认为我们的研究支持以下结论：应该彻底放弃基于密码的简单身份验证。


为帮助用户选择更强的密码，请参阅有关密码复杂性的建议策略-IT安全性

#6 楼

我听说过的仅有的两个很好的理由：


机会之窗-在在线攻击情况下，说您在10次错误尝试之后将帐户锁定了30分钟（Microsoft建议的设置为高安全性环境）。在没有任何密码到期的情况下，可能有无限的时间窗来尝试字典，暴力破解，常见的密码攻击方法。密码到期限制了这一点。在离线情况下，您没有意识到密码被盗，再次过期的密码会为攻击者提供有限的时间来破解密码，使它们变得无用。当然，正如@ graham-lee指出的那样，您还需要其他控制措施来检测诸如后门合规性之类的东西-几乎每个监管机构和审计人员都将寻找密码有效期。包括PCI-DSS，HIPAA，SOX，Basel II等。正确或错误是我们生活的世界。此外，“没有人因为购买IBM理论而被解雇”。如果您没有密码有效期，而您所在行业的其他人也没有，如果您被黑客入侵，那么您就没有遵循“行业标准做法”。更重要的是，高级管理层不能对新闻界，监管机构，法院说这句话。拥有状态全面检查防火墙，防病毒和IDS的相同原因，尽管它们现在的效率不如10年前。

话虽如此，正如大家都说过的那样，密码更改对于用户体验来说是很糟糕的，尤其是在没有单次登录或单次登录受限的情况下，这可能会导致“密码更改日”，在该日中，用户会经历一次并将30个系统的密码更改为相同的密码通常通过增加一个数字。这显然不是理想的行为。如果可以在您的法规/审计环境中更改这种文化，我的建议是更改您的政策以明确的理由删除密码过期（此处有很多）。得到适当的安全治理的批准，并由审核/监管机构进行审查。然后继续并更换系统。或者，最好使用更多的单点登录和联合ID，最好有两个因素，以便至少用户只需要更改一个或几个密码。

#7 楼

此处未提及的一个原因是，如果在其他地方找到了他们的密码，它可以防止使用同一密码进行所有操作的人破坏您的系统。在一些密码过期后，用户将开始需要输入原始密码，这意味着当他们最喜欢的密​​码被盗并且所有电子邮件，社交网站和个人帐户被黑客入侵时，您的系统仍将是安全的。 />

#8 楼

密码过期将在多大程度上提高安全性？

该图显示了在某些情况下时间和概率之间的关系，这种暴力行为成功地攻击了一种密码，具体取决于定期更改密码。
绝对时间跨度不太重要。它有多长时间-差别不大，或者漏洞已经相当高。
如之前其他人所述，在不同的情况下，更改密码可能会有所帮助：

a）在特殊情况下，用户A告诉同事B他的密码。后来B被解雇了。现在，他可能会考虑滥用A的密码（我们假设自己的帐户已删除），但是在开始攻击之前可能需要一段时间（例如，在法庭上败诉该公司）。在这里，更改密码非常有用-但当然不能将密码从secret2010更改为secret2011。 。

在情况b）中，更改密码的策略看起来很合理，但是如果容易受到攻击的风险确实很高，您只能从中获利。让我用数字来解释一下：
假设攻击者每秒可能尝试25万个密码。
假设您说密码在183天（约6个月）后过期。
密码生成从a-zA-Z0-9（共62个标志）开始。
假设密码长为8个标志。
请检查10年后（即20个更改间隔）闯入的可能性。已经编写了一个程序，以测试不同的参数；使用

java PasswordCrackProb 8 62 250000 s 183 20

len             = 8
signs           = 62
attacks per day = 21 600 000 000
change after days= 183
intervals       = 20    days = 3660 years = 10
M               = 218 340 105 584 896
attacks         = 79 056 000 000 000
p(cracked)      = 0,3620773 without change
p(cracked)      = 0,3060774 with change

调用该程序结果表明，如果未更改密码，则有36％的机会被破解，如果更改了密码，则有31％的机会被破解（但攻击者拥有新鲜的影子文件）。如果我们花费较长的时间间隔40个时间间隔（例如20年），则差异会更大，并且更是如此：

p(cracked)      = 0,7241546 without change
p(cracked)      = 0,5184715 with change

但是尽管52％远低于72％，但52％可能无法接受。
但是如果我们查看较小的时间间隔，则更改和未更改密码之间的相对差异会越来越小。

p(cracked)      = 0,0905193 without change
p(cracked)      = 0,0873006 with change

当然，如果您假设更多的CPU功能或较弱的密码，则破解时间会变短，但是每天的攻击次数并不是很有趣。我们必须假设：我们不能强制用户每天更改密码。因此，有些日子（可能是一周）是最少的。而且我们不需要超过20年的最大值。系统在变，人们在变工作。您将不可避免地在20年后更改密码。
如果攻击者的权力太大，并且蛮横地在一天之内强制使用整个名称空间，那么每周更改将无济于事-他总是赢家。而且，如果攻击者在50年内只能暴力破解名称空间的1％（对于给定的密码长度），那么更改密码也无济于事-您（几乎）总是会获胜。
在中间平衡的情况下，密码更改可能会有所作为，但是您真的知道坏人是否需要1年，10年或100年的时间来强行使用您的密码吗？
但请记住：如果攻击者只有一次可以访问您的影子文件（该文件现已过期），因此无法进行我程序中的比较。

#9 楼

简单的答案-如今，它几乎无济于事。先前的答案给出了将要使用的两种主要方案，但即使那样，90天仍然没有用。

情况可能更糟-我们花了很长时间说服人们30天太短了，但又回到了窃取SAM的那天相对容易，人们非常担心暴力攻击SAM。我们达成了90天的折中协议，但许多公司都同意，但是尽管破解能力肯定有所提高，但散列得到了更好的保护，并且通常大多数地方现在至少已经有一些密码复杂性规则，因此它变得不那么重要了。

#10 楼

我只想补充一件事。我们可以从社交角度解决这个问题。
每隔X天告诉用户一次重置密码-嘿，这很重要，不能掉以轻心！

#11 楼

作为新的NIST出版物中的新事物之一，称为“特殊出版物800-63-3”：


没有理由就不会过期。 [...]如果我们希望用户遵守并选择难以猜测的长密码，则不应使他们不必要地更改这些密码。


来自：https：/ /nakedsecurity.sophos.com/2016/08/18/nists-new-password-rules-what-you-need-to-know/

NIST本身的出版物可以在这里找到：https ：//github.com/usnistgov/800-63-3

信息安全世界早已接受了一些其他建议：最少8个字符，最大长度为64个字符或更长，没有密码提示或秘密问题，允许所有字符（包括表情符号），并且没有令人讨厌的规则，例如“必须包含特殊字符，但不能包含美元或百分号”。

它仍然是草稿，但实际上回答问题。

#12 楼

在质疑此问题时要考虑的主要考虑因素是您可能不知道自己的帐户已被破坏。可以在任何情况下进行更改。

通过强迫您每90天更改一次密码（或暂停帐户帐户），管理员减轻了两种风险。
1。闲置的用户/帐户将在无限制的时间内可用，攻击者可以尝试用暴力手段闯入。
2。那就是，如果您没有遭到破坏，无论如何（无论如何将攻击者重新锁定到您的帐户之外），您都必须更改密码。

#13 楼

大多数在线服务（例如银行）都会限制每个时间单位的在线尝试次数，从而使暴力攻击徒劳无功。

密码更改策略的结果几乎总是存在安全风险。它可以采用PostIt密码的形式，也可以采用以下形式的密码：pass!1000，更改为pass!1001，然后更改为pass!1002，依此类推。

#14 楼

从某种意义上说，该机构强制每隔一段时间更改一次密码似乎更好。但是，如果用户在该时间间隔内更改密码，但总是在更改后留下a沥沥，则更改密码毫无意义。相反，它是更严重的威胁。用户感到他/她已更改了他/她的最后密码，并感到安全。

-

最好的方法总是建议服务提供商实施更好，更安全的算法，然后要求其提供密码。最终用户每次都要重置该死的密码。如果某人足够相同，他/她将记住这些日子，我们拥有单一登录和OpenID，人们更喜欢使用一个帐户登录，而不是记住不同网站的不同密码。

-
尽管进行了所有讨论，建议您经常更改密码，
但是，

On YOUR FREE WILL

快速提示：在您的密码中使用多个单词密码（最安全的标记日期）。

#15 楼

补充说一下，我可以想出定期更改密码有帮助的另外两个原因：

1）当计算能力显着提高时90年代7个字符的密码被认为是安全的，因为计算机的功能不足以对其进行暴力破解。

24年后，仍具有相同密码的系统可以成功被暴力破解。

进行一些计算，考虑到密码由24个字母（大写和小写），10个数字和10个符号以及摩尔定律（每2年增加2倍的幂）组成：

possible combinations = (24 + 24 + 10 + 10) ^ 7 = 6,722,988,818,432

tries per second in 1990 = 100,000 (for example)

time required in 1990 = possible combinations / tries per second = 2 years

tries per second in 2014 = tries per second in 1990 * (2 ^ 12) = 409,600,000

time required in 2014 = possible combinations / tries per second = 4 hours

这更多是关于增加最小所需密码长度，但是应该定期进行，并且应该更改短密码。

2）符合ISO / IEC 27001/27002标准


从ISO / IEC 27002：2013第9.4.3节开始：


密码管理系统应：

...

e）强制执行常规密码更改并根据需要；


3）符合PCI DSS标准


来自PCI DSS v3，第8.2.4节：


8.2.4至少每90天更改一次用户密码/密码。

8.2.4.a对于系统组件的示例，请检查系统配置设置，以验证是否将用户密码参数设置为要求用户至少每90天更改一次密码。

8.2.4.b针对服务提供商的附加测试过程：查看内部流程和客户/用户文档，以验证：


非消费者用户密码为需要定期更改；和
指导非消费者用户何时，在什么情况下必须更改密码。

长期有效的密码/短语无需更改就可以为恶意个人提供有更多时间来修改密码/短语。

#16 楼

我们轮流使用“公共密码”（来宾wifi）以清空离开公司后的员工的访问权限。

我们接受轮换“个人密码”的负担，因为a）我们始终从假设每个非技术人员的帐户都已被黑客入侵。
b）“自动关闭”所有被遗忘的帐户。
由于“集中设置新密码”访问权限是我们唯一从未使用过的访问权限忘记关闭。 （所有单点登录依赖关系的安全失效期）
还包括交给新所有者的硬件（笔记本），并且可能具有“保存的密码”。

（c ）另外，它使人们可以知道密码的自动保存位置。）

（d）另外，在出现可疑的数据丢失之后，我们可以告诉人们“请更改所有密码” 。这仅对经过密码更改培训的员工可靠地起作用。

#17 楼

对问题的严格字面理解可以得出答案：它以消极的方式提高了安全性：通过便利贴或使用增加的数字或移位编号。

它可以降低法律风险。但是，合规性会产生问题。

#18 楼

已经有许多答案表明，经常强迫用户更改密码是没有用的。我想补充一下可能是最著名的安全专家布鲁斯·施耐尔（Bruce Schneier）的观点。

他基本上说，这取决于密码所保护的内容以及如何使用被盗密码。这听起来很明显，但是在Facebook的密码和您的网上银行的密码之间根本看不出来，最好更改前者。没错：更改您的Facebook密码而不是银行的密码更有意义。让我们看看为什么。

定期更改密码有助于防止有人找到它并且您仍然不知道它，因为攻击者更喜欢隐身。



在许多情况下，如果攻击者发现了您的密码，他会做一些您肯定会做的事情，具体取决于他们所破坏的帐户。注意。例如，如果他可以访问您的银行帐户，则会从中转出资金。引用布鲁斯的话：
“在这种情况下，定期更改密码没有多大意义
-但是在欺诈发生后立即更改密码至关重要。”这个想法是，如果没有人从您的帐户中窃取资金，则很可能意味着没有人找到您的密码（为什么他们会等待，否则？），因此没有理由更改它。
相反，窃取您的Facebook密码的人可能会使用它来监视您。例如，您的妻子可能用它来检查您是否有情人。在这种情况下，您不会注意到
攻击，因为攻击者希望能够继续监视您
，因此他们不会发布新消息或任何会
引人注目。在这里，定期更改密码会
阻止她继续。

因此，鉴于攻击场景的不同，更改Facebook密码比更改银行密码更有用。这很违反直觉，但是很有意义。

#19 楼

丢失，放错位置或被盗的硬件也可能是攻击媒介，最多只能提供混淆的密码。

Attacker可以窃取智能手机并恢复WiFi密码-在大多数情况下，通用用户帐户。

#20 楼

我个人认为，对办公室用户（或对计算机使用几乎不熟悉的人，更不用说网络安全性）强制使用密码有效期，在许多组织中都是这样的。如上所述，这种情况下的主要安全漏洞是那些相同的办公室用户只是将他们的密码写在便笺上，然后将其粘贴到屏幕上或粘贴在办公桌上。或者，如果此人稍微更“高级”，他们可能会开始使用诸如letmeinMONTHYEAR之类的密码。

但是，一旦进行了适当的密码管理，定期的密码到期是一件好事。显然，大多数（非专家）人将无法记住真正安全的密码-类似于v^i77u*UNoMTYPGAm$。那么我们该怎么办？

我个人使用密码管理器来跟踪我所有的密码，除了一个是主密码。这确实简化了事情，并使它们更安全（只要我的主密码本身是安全的，并且我可以轻松地重新输入密码以登录到密码管理器。）有几种商用密码管理器，我将让您发现并测试它们你自己。我个人使用Lastpass，Lastpass是免费的，可以安全使用。它可以通过网络浏览器使用，也可以作为应用程序安装在智能手机或平板电脑上。至于让第三方解决方案管理您所有密码的安全问题，我依靠Steve Gibson进行的审查。您可以在此处观看其完整版本。

#21 楼

当您的用户是人类时，它并不一定会提高安全性。
请参阅首席技术官Lorrie Cranor撰写的FTC文章“重新思考强制性密码更改的时间”，该研究基于人类如何实际使用这些系统的研究。 （在此处，华盛顿邮报的报道。）此外，正如SANS安全博客中所讨论的那样，“更改行为的关键准则之一是（专注于）针对最大风险的最少行为。”要求更改密码的成本可更好地花费在教会用户使用强大的唯一密码和/或密码管理器/多因素身份验证上。此外，由于与长期的，缓慢的，手动的密码更改可以阻止中断的攻击相比，密码更改的好处现在已经下降，因为攻击可以而且通常确实发生得更快。

#22 楼

我会倾向于同意，这主要是由合规性驱动的要求，充其量只能带来安全性的一点点净增长（不幸的是，由于否则合法用户在90天后被锁定，到计算机的通信失败，原因是它们的密码已过期并且没有人更新它们，致电服务台以解决密码重置问题等）。一项政策（尽管-特定密码的相对较长的有效期大大减少了这些理由。毕竟，如果网络骗子获得90天的密码，他或她可以造成很多损害）。

最大的优势在于以下情况：


您被黑或以其他方式受到破坏，网络骗子会找到您的用户名和密码。
它恰好在“更改阈值”时间周期内d（通常是在本季度末，并且不要以为网络骗子不知道这一点）。
您需要更改“旧”密码（您和网络骗子都需要更改此密码，知道）。
您遵循公司政策并更改密码，这意味着现在网络骗子再次被锁定。他或她可以尝试使用与以前相同的方法，也可以未经授权地访问此凭据...但是这样做可能会很烦且耗时。

这里的重点是，“将密码更改为新密码”，这并不是网络罪犯通常要做的事情，因为从他或她的角度来看（除非密码劫持确实是一种拒绝服务攻击），更改密码并将合法（原始）所有者锁定在帐户之外，将立即提醒合法用户发生了不愉快的事情。

这是基于网络犯罪分子通常一次劫持成千上万个密码的事实。更改所有这些设置，尤其是因为它们可能无法访问设置为允许合法用户执行此操作的后端系统，可能是一项艰巨的任务。

上述内容都没有写成忽略网络骗子通常会在未经授权访问您的系统的那一刻建立自己的特权帐户，或者无视“强制性90天密码更改”范式中其他普遍存在的弱点这些日子。将此规则视为分层防御策略中的一个（次要）元素，您会发现它占有一席之地...但是，要阻止坏人，绝对不是您应该依靠的东西。

#23 楼

如果使用了合理的强密码，则不会。如果攻击者设法从数据库中提取散列值，则最终可以将其脱机破解，则可能需要定期更改密码。但是，当应鼓励用户选择强密码（例如，基于长密码短语）时，强制更改密码似乎是安全性的一种较弱形式。因此90天的更改限制旨在保护这些帐户。由于这些用户不了解或不关心其帐户的安全性，因此他们可能会根据其旧密码选择另一个弱密码（这意味着攻击者可以破解旧密码，然后在在线攻击中使用该密码的变体） 。将90天策略与检查新密码与旧密码的相似性相结合可以被认为是有帮助的。其他用户的密码将更难以破解，尽管如果攻击者投入了足够的时间，这是完全可能的-密码强度低于128位的任何密码都意味着它最终有可能被破解，尽管除非攻击者对特定帐户特别感兴趣，因此发生的可能性很小。

更改密码的一个可能的好理由是用户经常将密码保存在不安全的地方。例如，浏览器的自动完成功能可能已经记住了朋友计算机上的密码。但是，这既不存在也不存在。

这就是为什么经常更改它们被认为是一种好习惯的原因。 90天满足最低的公分母。任何使用使用密码生成器生成的强密码的用户都将拥有最小的麻烦来进行更改，因此此策略不会引起严重的问题。我可以理解使用此政策拥有许多帐户的用户会感到恼火。

经常更改密码的另一个原因是，密码存储算法（例如bcrypt和其他密钥派生函数）具有迭代计数，随着摩尔定律的掌握，可以将其增加以增加工作因子。输入新密码将使密码散列有更多的迭代机会，或者随着系统安全性的提高而更新整个散列算法。例如，如果站点最初存储明文密码，然后迁移到SHA-1，然后先用salt迁移到SHA-1，然后最终迁移到bcrypt，那么更改密码的操作通常被用作更新此用户存储格式的机会在数据库中。

请注意，从技术上讲，不需要更改密码，只是许多系统会在此时将密码重写为存储，但是由于明文密码，他们也可以在成功登录后执行此操作此时也将可用。强制更改密码将在这些情况下提供帮助，并且还具有以下优势：如果站点上存在任何未发现的密码泄漏漏洞（例如SQL注入），则密码将被更改为更安全的某种形式，并且将使用哈希格式更新。请注意，强制更改密码无助于更新非活动帐户，这就是为什么某些标准规定一段时间后（例如90天后的PCI）禁用非活动帐户的原因-如果密码也以某种格式存储在数据库中，还建议将其清空，以防用户在其他地方重用它，以后又将其泄漏。