Αν θέλετε να χρησιμοποιείτε κάποια υπηρεσία της Microsoft και προσπαθήσετε να δημιουργήσετε έναν λογαριασμό, η εταιρεία δεν θα σας επιτρέψει να χρησιμοποιήσετε κάποιον κωδικό ασφαλείας που συναντάται συχνά.
Η ίδια προσέγγιση ισχύει σε φάση προεπισκόπησης για τους χρήστες του Azure Active Directory και, κατά τη διάρκεια των επόμενων μηνών, θα κυκλοφορήσει και σε άλλες υπηρεσίες της Microsoft.
Ποιοι είναι οι κοινοί κωδικοί πρόσβασης;
Ο Alex Weinert, Group Program Manager της ομάδας Azure AD Identity Protection, εξήγησε αποφάσισαν ποιοι κωδικοί πρόσβασης είναι πάρα πολύ κοινοί.
Η ομάδα του δημιούργησε ένα αυτοματοποιημένο σύστημα που τροφοδοτείται από καταλόγους με ονόματα χρηστών και κωδικούς πρόσβασης που έχουν κλαπεί από άλλες εταιρίες και οργανισμούς, και διέρρευσαν στο διαδίκτυο ή προσφέρονται για πώληση, και μια λίστα με ονόματα χρηστών και κωδικούς πρόσβασης που καταγράφονται στις πάνω από 10 εκατομμύρια επιθέσεις (brute force) που γίνονται καθημερινά στα συστήματα της εταιρείας (είναι μια λίστα που ενημερώνεται συνεχώς).
Με βάση αυτά τα δεδομένα, το σύστημα αναγνωρίζει ποιοι κωδικοί επαναλαμβάνονται συχνότερα, και μπλοκάρει την επιλογή τέτοιων κωδικών πρόσβασης.
Πρόσθετες επιλογές ασφαλείας
Το ενδιαφέρον είναι ότι, όταν η Microsoft ζητά από τους χρήστες να επιλέξουν έναν κωδικό πρόσβασης, το κάνει με μοναδική απαίτηση να έχει από 8 χαρακτήρες και πάνω.
Η εταιρεία επέλεξε να μην ζητάει μεγαλύτερους κωδικούς ή εμπλουτισμένους με χαρακτήρες-σύμβολα για προσθήκη πολυπλοκότητας, και συμβουλεύει τους IT administrators να μην εξαναγκάζουν τους χρήστες περιοδικά να επαναφέρουν τους κωδικούς πρόσβασης των λογαριασμών τους.
Γιατί;
Επειδή οι χρήστες σύμφωνα με την εταιρεία αντιδρούν με προβλέψιμο τρόπο όταν έρχονται αντιμέτωποι με παρόμοιους περιορισμούς.
Από μια προηγούμενη έρευνα, η Microsoft ανακάλυψε ότι:
- Στις επιπλέον και υποχρεωτικές απαιτήσεις κωδικών πρόσβασης οι πελάτες της εταιρείας συνήθως χρησιμοποιούν επαναλαμβανόμενα μοτίβα (π.χ. passwordpassword), επιλέγοντας να γράφουν δύο φορές τους κωδικούς πρόσβασης που χρησιμοποιούσαν.
- Οι απαιτήσεις για πολυπλοκότητα στους κωδικούς πρόσβασης οδηγεί σε πανομοιότυπα μοντέλα κωδικών πρόσβασης που χρησιμοποιούν π.χ. ένα πρώτο κεφαλαίο γράμμα, ένα σύμβολο στην τελευταία, και ένας αριθμός στα δύο τελευταία, γεγονός που τους καθιστά ευάλωτους σε επιθέσει brute-force.
- H υποχρεωτική παροδική επαναφορά κωδικών πρόσβασης έχει σαν αποτέλεσμα την επιλογή προηγούμενων κωδικών πρόσβασης, δηλαδή οι κωδικοί “ενημερώνονται” σε παλαιότερους.
Περισσότερες συστάσεις για τη διαχείριση κωδικών πρόσβασης για χρήστες και διαχειριστές παρέχονται στο παρακάτω White Paper. Θα βρείτε επίσης συμβουλές για το πώς να επιλέξετε ένα καλό (ισχυρό και μοναδικό) κωδικό πρόσβασης, καθώς και άλλες πρακτικές για να διατηρήσετε τα δεδομένα σας ασφαλή.
Microsoft Password Guidance (PDF)
