Windows 10 versjon 1903 avvikler retningslinjer for passordutløp
Windows 10 støtter to typer kontoer. Den ene er den klassiske lokale kontoen som har vært tilgjengelig i alle tidligere Windows-versjoner, den andre er den moderne Microsoft-kontoen som er knyttet til selskapets skytjenester. Før Windows 10 versjon 1903 hadde Microsoft konfigurerbare retningslinjer for utløp av passord for bedre sikkerhet som dateres tilbake til de tidligste versjonene av Windows NT. Dette har endret seg.
Kort sagt, Microsoft har nå følgende argumenter mot kontinuerlig passordendring.
Det offisielle blogginnlegget sier følgende.
Hvorfor fjerner vi retningslinjer for passordutløp?
For det første, for å prøve å unngå uunngåelige misforståelser, snakker vi her kun om å fjerne retningslinjer for utløp av passord – vi foreslår ikke endrede krav til minimum passordlengde, historie eller kompleksitet.
Periodisk passordutløp er kun et forsvar mot sannsynligheten for at et passord (eller hash) vil bli stjålet i løpet av gyldighetsintervallet og vil bli brukt av en uautorisert enhet. Hvis et passord aldri blir stjålet, er det ikke nødvendig å utløpe det. Og hvis du har bevis på at et passord er stjålet, vil du antagelig handle umiddelbart i stedet for å vente på utløp for å fikse problemet.
Hvis det er gitt at et passord sannsynligvis vil bli stjålet, hvor mange dager er en akseptabel lengde på å fortsette for å la tyven bruke det stjålne passordet? Windows standard er 42 dager. Virker ikke det som en latterlig lang tid? Vel, det er det, og likevel sier vår nåværende baseline 60 dager – og pleide å si 90 dager – fordi å tvinge frem hyppig utløp introduserer sine egne problemer. Og hvis det ikke er gitt at passord vil bli stjålet, får du disse problemene uten fordel. Videre, hvis brukerne dine er av typen som er villige til å svare på spørreundersøkelser på parkeringsplassen som bytter en godteribar mot passordene deres, vil ingen retningslinjer for passordutløp hjelpe deg.
Grunnlinjene våre er ment å være brukbare med minimale om noen modifikasjoner av de fleste veladministrerte, sikkerhetsbevisste virksomheter. De er også ment å tjene som veiledning for revisorer. Så hva bør den anbefalte utløpsperioden være? Hvis en organisasjon har implementert lister over forbudte passord, multifaktorautentisering, gjenkjenning av passord-gjetting angrep og oppdagelse av unormale påloggingsforsøk, trenger de noe periodisk passord utløp? Og hvis de ikke har implementert moderne avbøtende tiltak, hvor mye beskyttelse vil de egentlig oppnå når passordet utløper?
Resultatene av baseline-samsvarsskanninger måles vanligvis etter hvor mange innstillinger som ikke samsvarer: «Hvor mye rødt har vi på kartet?" Det er ikke uvanlig at organisasjoner under revisjon behandler samsvarstall som viktigere enn den virkelige verden sikkerhet. Hvis en grunnlinje anbefaler 60 dager og en organisasjon med avansert beskyttelse velger 365 dager – eller ingen utløp i det hele tatt – de vil bli tråkket unødvendig under en revisjon og kan bli tvunget til å overholde 60-dagens anbefaling.
Periodisk passordutløp er en eldgammel og foreldet bekjempelse av svært lav verdi, og vi tror ikke det er verdt for vår grunnlinje å håndheve noen spesifikk verdi. Ved å fjerne den fra grunnlinjen vår i stedet for å anbefale en bestemt verdi eller ingen utløpsdato, kan organisasjoner velge det som passer best for deres oppfattede behov uten å motsi veiledningen vår. Samtidig må vi gjenta at vi sterkt anbefaler ytterligere beskyttelse selv om de ikke kan uttrykkes i våre grunnlinjer.
Så, retningslinjene for utløp av passord er avviklet fra og med Windows 10 versjon 1903. Denne endringen påvirker ikke andre passordpolicyer, inkludert retningslinjene for lengde og kompleksitet.
Personvernoversikt
Denne nettsiden bruker informasjonskapsler for å forbedre opplevelsen din mens du navigerer gjennom nettstedet. Ut av disse informasjonskapslene lagres informasjonskapslene som er kategorisert som nødvendige i nettleseren din, da de er avgjørende for at de grunnleggende funksjonene til nettstedet skal fungere. Vi bruker også tredjeparts informasjonskapsler som hjelper oss med å analysere og forstå hvordan du bruker denne nettsiden. Disse informasjonskapslene lagres kun i nettleseren din med ditt samtykke. Du har også muligheten til å velge bort disse informasjonskapslene. Men å velge bort noen av disse informasjonskapslene kan ha en effekt på nettleseropplevelsen din.
