Sluta tvinga användare att byta lösenord med jämna mellanrum!

Många tvingas då och då att byta lösenord i system då och då. Det är främst i företagsnätverken (hos din/min arbetsgivare) som det händer. Man säger att det är av säkerhetsskäl man tvingar användare till detta. Men det skapar bara irritation och extra administration samtidigt som det knappt tillför någon säkerhet alls.

Min vädjan: Sluta tvinga användare att byta lösenord utan anledning!

Vad händer om användare tvingas byta lösenord då och då?

• Användaren kommer att ha svårare att komma ihåg sitt aktuella lösenord vilket innebär att samtalen till helpdesk/IT-avdelningen blir fler. “Hej jag kommer inte in. Jag bytte mitt lösenord i fredags men det verkar inte funka nu…”

• Användaren tenderar att välja lösenord som han/hon har lättare att komma ihåg. “Jag hade Fiddeli2 som lösenord innan. Då blir det Fiddeli3 nu” (Gissa om hackern som visste att användaren hade Fiddeli2 som lösenord men plötsligt inte kommer in med detta istället testar Fiddeli3 det första han gör?)

Vilka argument finns det FÖR periodiska lösenordsbyten?

• “Genom att tvinga våra användare att byta lösenord så hindrar vi dom från att använda samma lösenord här och över allt annars”

Ok. Hindrar? Om jag på jobbet blivit tvingad att byta lösenord så finns det inget som hindrar mig att byta till det lösenordet även på facebook.

• “Om en hacker kommit över användarens lösenord kommer han att förlora inloggningsmöjligheten efter 90 dagar då användaren byter lösenord”

Hur skulle hackern ha kommit över lösenordet? Keylogger? Ja det är teoretiskt möjligt men knappast särskilt troligt. Titta över axeln när användaren loggar in? Ja om användaren låter en okänd människa titta på när han sakta skriver in lösenordet “123456″ med vänster pekfinger så är det möjligt. Men när användaren skriver lösenordet “dkjJ4khssi!” snabbt (eftersom att han använt det lösenordet länge så det sitter i ryggmärgen/fingrarna) så lovar jag att ingen kommer att kunna uppfatta den exakta kombinationen. Dessutom skulle jag reagera om någon avsiktligt stod och tittade på tangentbordet när jag loggade in. Det tillhör normal hyfs ungefär som att man snabbt stänger toadörren igen (utifrån!) när man råkat på att toan var upptagen men olåst.

Dessutom. Det första en inbrottstjuv gör när han tagit sig in i en villa är att skapa en flyktväg. Han öppnar ett fönster eller en dörr i motsatt ände från där han tog sig in, innan han börjar rota. Det första en hacker gör är att bereda sig tillgång till systemet även utan det lösenordet som han nyss använde. Det kan vara att skapa ett nytt konto, det kan vara att omedelbart kopiera all data som nånsin kan vara intressant och sen aldrig nånsin komma tillbaka, men det troligaste är att han installerar ett root-kit vilket ger honom full tillgång till systemet även utan det konto han nyss använde. Sen kan användaren byta till Fiddeli3 så mycket han/hon vill.

• “Vi förhindrar brute-force-attacker genom att byta lösenord då och då”

De system jag känner till låser ofta kontot efter 3-5 misslyckade inloggningsförsök.

• “Vet inte. Så har vi alltid gjort”

Den absolut vanligaste anledningen. Kommentarer överflödiga.

Vad händer när användaren får behålla sitt lösenord så länge han/hon vill?

• Han/hon kommer aldrig att glömma lösenordet.
• Han/hon kommer att kunna välja ett mer komplext lösenord eftersom att han/hon vet att hon kommer att få behålla det.
• Password reset-samtalen till Helpdesk kommer garanterat att närma sig noll.

Hur ska man då göra som organisation?

• Ställ krav på att användaren ska använda komplexa lösenord (minst 10 tecken gärna 12, både versaler och gemener och minst ett specialtecken). Tipsa om hur man väljer ett säkert lösenord som inte glöms bort.
• Ställ krav på att användaren inte använder samma lösenord i något annat system.
• Gör allt som är möjligt för att ni (företaget) har en central katalogtjänst så att användaren slipper ha en inloggning till fil/print, en till vpn-anslutning, en till webbmail, en till tidredovisningssystemet och en till ekonomisystemet.
• Ställ krav på användaren att aldrig dela med sig lösenordet till någon annan.
• Ställ krav på användaren om att omedelbart byta lösenord om han/hon misstänker att någon kommit över det.

(Andra bloggposter i samma ärende)

Tagged as: brute force, hacker, intrång, keylogger, lösenord