Виндовс 10 верзија 1903 забрањује смернице истека лозинке
Виндовс 10 подржава две врсте налога. Један је класични локални налог који је био доступан у свим претходним верзијама Виндовс-а, други је савремени Мицрософт налог који је повезан са компанијским цлоуд сервисима. Пре Виндовс 10 верзије 1903, Мицрософт је имао конфигурабилне политике истека лозинке ради боље безбедности које датирају још од најранијих верзија Виндовс НТ-а. Ово се променило.
Укратко, Мицрософт сада има следеће аргументе против континуиране промене лозинке.
Званични блог пост наводи следеће.
Зашто уклањамо смернице о истеку лозинке?
Прво, да бисмо избегли неизбежне неспоразуме, овде говоримо само о уклањању политике истека лозинке – не предлажемо промену захтева за минималну дужину лозинке, историја, или сложеност.
Периодично истицање лозинке је само одбрана од вероватноће да ће лозинка (или хеш) бити украдена током периода њеног важења и да ће је користити неовлашћени ентитет. Ако лозинка никада није украдена, нема потребе да истекне. А ако имате доказ да је лозинка украдена, вероватно бисте деловали одмах уместо да чекате да истекне да бисте решили проблем.
Ако је извесно да ће лозинка вероватно бити украдена, колико дана је прихватљиво време да се настави да се дозволи лопову да користи ту украдену лозинку? Виндовс подразумевано је 42 дана. Зар то не изгледа као смешно дуго време? Па, јесте, а ипак наша тренутна основна линија каже 60 дана – а некада се говорило 90 дана – јер форсирање честог истека уводи своје проблеме. А ако није дато да ће лозинке бити украдене, добијате те проблеме без икакве користи. Даље, ако су ваши корисници они који су вољни да одговоре на анкете на паркингу које мењају слаткише за своје лозинке, никаква политика истека лозинке вам неће помоћи.
Наше основне линије су намењене да буду употребљиве са минималним или било каквим модификацијама од стране већине добро вођених предузећа која брину о безбедности. Они су такође намењени да служе као смернице за ревизоре. Дакле, који би требао бити препоручени рок трајања? Ако је организација успешно применила листе забрањених лозинки, вишефакторска аутентикација, откривање напади погађања лозинке и откривање аномалних покушаја пријављивања, да ли им је потребна периодична лозинка истицање? А ако нису применили модерна ублажавања, колику ће заштиту заиста добити од истека лозинке?
Резултати основних скенирања усклађености се обично мере према томе колико подешавања нису усклађени: „Колико имамо црвеног на графикону?" Није необично да организације током ревизије третирају бројеве усклађености као важније од стварних безбедност. Ако основна линија препоручује 60 дана, а организација са напредном заштитом се одлучи за 365 дана – или без истека уопште – они ће се непотребно увући у ревизију и можда ће бити приморани да се придржавају рока од 60 дана препорука.
Периодично истицање лозинке је древно и застарело ублажавање веома ниске вредности, и не верујемо да је вредно труда да наша основна линија наметне било коју специфичну вредност. Уклањањем из наше основне вредности уместо препоруком одређене вредности или без истека, организације могу да изаберу оно што најбоље одговара њиховим перципираним потребама без супротности са нашим упутствима. Истовремено, морамо поновити да снажно препоручујемо додатну заштиту иако она не може бити изражена у нашим основним линијама.
Дакле, смернице истека лозинке су застареле почевши од Виндовс 10 верзије 1903. Ова промена не утиче на друге смернице за лозинку, укључујући смернице за дужину и сложеност.
