À quelle fréquence changez-vous votre mot de passe administrateur / root?

J'ai la mauvaise habitude de changer rarement le mot de passe administrateur dans mon domaine. Les mots de passe que j'utilise sont assez bons mais je veux être plus cohérent à ce sujet.

Quelle est selon vous une bonne fréquence? Peut-être tous les 6 mois?

Faisons un calcul rapide (et oublions les meilleures pratiques un instant):

Supposons un délai de six mois pour qu'un attaquant pirate votre système. Supposons également que les mots de passe soient choisis au hasard dans un jeu de caractères de taille 62.

Scénario 1: vous utilisez un mot de passe à 9 caractères pour l'ensemble des six mois.

Scénario 2: vous utilisez un mot de passe à 9 caractères pour les trois premiers mois et un mot de passe à 9 caractères différent pour les trois mois restants.

Scénario 3: vous utilisez un mot de passe de 10 caractères pour l'ensemble des six mois.

Dans le scénario 1 , un attaquant en force brute pirate votre compte avec 100% de certitude, s'il peut effectuer 62 ^ 9 tentatives pendant cette période.

Dans le scénario 2 , s'il ne peut faire que (62 ^ 9) / 2 tentatives en deux fois moins de temps (trois mois), il piratera le compte avec 50% de certitude. Dans la seconde moitié, il aura une autre chance avec 50% de certitude. Donc statistiquement, il piratera le compte avec 75% de certitude.

Dans le scénario 3 , il aura 62 ^ 9 tentatives pour les six mois entiers. Mais il y a 62 ^ 10 possibilités. Il ne piratera donc le compte qu'avec une certitude de 1/62, soit environ 1,6%.

Donc, si nous laissons de côté tous les autres facteurs (comme les mots de passe volés et d'autres types d'attaques), la recommandation serait de choisir des mots de passe plus longs plutôt que d'utiliser des mots de passe plus courts (ou plus simples), même s'ils sont modifiés plus souvent. Surtout, car dans le scénario 3 , il n'y a que 10 caractères à retenir, tandis que dans le scénario 2 , c'est 18 caractères.

Nous sommes principalement des fenêtres, et chacun des administrateurs a son propre compte d'administrateur de domaine, et nous nous faisons simplement confiance pour avoir des mots de passe forts et les changer de temps en temps. Je suis sûr que tout le monde a des mots de passe forts, car nous utilisons la pression des pairs pour nous assurer qu'ils sont longs et contiennent des chiffres et / ou des caractères, mais nous ne les changeons pas assez souvent. \

AJOUT: À ce jour, la plupart des gens ont probablement entendu cela, mais juste au cas où. Bruce Schneier, expert en chiffrement et sécurité, dit que vous devez avoir des mots de passe forts et les écrire.

Bien qu'il soit théoriquement préférable de changer fréquemment de mot de passe, le facteur d'écriture rédige un post-it augmente exponentiellement à mesure que la période de validité raccourcit.

Si c'est pour un usage privé uniquement, pourquoi ne pas utiliser l'authentification par clé publique et avoir juste un bon PW pour votre trousseau de clés?

Parlez-vous réellement du compte d'administrateur pour le domaine (SID: S-1-5-21domain-500), ou parlez-vous du compte d'administrateur que vous avez créé pour vous afin que vous puissiez obtenir des journaux utiles sur qui fait quoi?

En règle générale, je configure le compte administrateur pour avoir un long (mot de passe de 20 caractères et plus) et stocke le mot de passe dans un endroit sûr et n'utilise jamais ce compte. Je ne change généralement ce mot de passe que chaque année. Notre réseau dispose également de systèmes de verrouillage et autres qui devraient empêcher toute attaque à distance par force brute d'être très efficace. Comme je n'utilise jamais le mot de passe pour les tâches quotidiennes, le capot probable de celui-ci étant intercepté est presque inexistant.

Si vous parlez de mon compte personnel auquel j'ai accordé des privilèges d'administrateur, j'ai tendance à le changer tous les 6 mois environ. J'ai également tendance à utiliser l'authentification par clé dans la mesure du possible afin que mon mot de passe soit très rarement transmis n'importe où. Je ne travaille pas non plus avec ce que je pense que la plupart des gens considéreraient comme des systèmes à haut risque.

Peu importe la complexité des mots de passe que vous définissez. Il est toujours recommandé de changer votre mot de passe tous les 30 à 42 jours. 6 mois est un mot de passe beaucoup trop ancien. Il devrait toujours y avoir une bonne politique de mot de passe mise en œuvre pour rester en sécurité :-)

Normalement, je ne réinitialise les mots de passe root qu'après le départ d'un membre du personnel ... mais j'encourage les utilisateurs disposant d'un accès sudo à changer les leurs tous les 90 jours.