Politique d'âge / complexité du mot de passe utilisateur

Quelqu'un a-t-il des ressources pour déterminer une politique de mot de passe raisonnable pour mes utilisateurs? Mon penchant personnel est d'augmenter la complexité des mots de passe et de leur permettre de les changer moins souvent comme une sorte de compromis. Il semble que mon utilisateur moyen ait une tolérance plus élevée pour le mélange de certains chiffres et caractères spéciaux qu'il y a 5 ou 10 ans.

Je recherche des règles générales et / ou des ressources que je peux utiliser pour sauvegarder mes modifications de politique proposées. Ou même des informations anecdotiques de ceux qui ont plus d'expérience.

(Je suis loin d'être un gourou de la sécurité, donc si c'est trop vague à traiter, limitons la question à appliquer uniquement aux mots de passe de réseau Windows internes, bien que je serais intéressé par ce que les gens font en termes de VPN et web politique de service)

Dans le monde actuel des attaques aléatoires par mot de passe par force brute, j'ai tendance à être d'accord avec la déclaration suivante: un bon mot de passe écrit vaut mieux qu'un mot de passe mémorisé facile à deviner

Voici une bonne comparaison de la force du mot de passe:

http://www.lockdown.co.uk/?pg=combi

Vous faites ce qu'il faut en considérant avec quoi vos utilisateurs sont prêts à travailler. Si vous forcez des mots de passe très complexes qui doivent changer fréquemment, vous constaterez que votre consommation de post-it montera en flèche.

Il y a une contribution sensible à ce sujet de Gene Spafford au CERIAS de Purdue . Voici une citation partielle:

D'où vient donc le dicton «changer les mots de passe une fois par mois»? À l'époque où les gens utilisaient des ordinateurs centraux sans réseau, le plus gros problème d'authentification non contrôlé était le crack. Cependant, les ressources étaient limitées. Du mieux que je peux trouver, certains sous-traitants du DoD ont fait un calcul de fond de panier sur le temps qu'il faudrait pour parcourir tous les mots de passe possibles à l'aide de leur ordinateur central, et le résultat a été plusieurs mois. Ainsi, ils ont (assez raisonnablement) fixé une période de changement de mot de passe d'un mois comme moyen de vaincre les tentatives de craquage systématiques. Cela a ensuite été inscrit dans la politique, qui a été publiée et largement acceptée par d'autres au fil des ans. Au fil du temps, les auditeurs ont commencé à chercher cela et ont fini par l'intégrer dans leur «meilleure pratique» à laquelle ils s'attendaient.

C'est MALGRÉ le fait que toute analyse raisonnable montre qu'un changement de mot de passe mensuel a peu ou pas d'impact final sur l'amélioration de la sécurité!
Il s'agit d'une «meilleure pratique» basée sur l'expérience d'il y a 30 ans avec des mainframes non connectés en réseau dans un environnement DoD, ce qui ne correspond guère aux systèmes d'aujourd'hui, en particulier dans le monde universitaire!

Je suis beaucoup plus en faveur d'un mot de passe plus long (ce qui, en réalité, signifie que dans les phrases à plusieurs mots, vous vous en souviendrez) au lieu de mélanger les mots et les chiffres. Si vous forcez les gens à ajouter des numéros, ils sont plus susceptibles de faire des choses simples comme remplacer i par 1, etc., ce qui ne vous apporte pas beaucoup de sécurité.

http://www.iusmentis.com/security/passphrasefaq/

Il y a des tonnes de matériel sur les politiques de mot de passe. Je recommande de jeter un œil à

• L'article de Wikipédia sur la politique de mot de passe
• Document de politique de mot de passe SANS .
• Projet de NIST sp800-118 intitulé Guide to Enterprise Password Management

Maintenant, quelque chose doit être dit sur la santé mentale des mots de passe . Le fait est que les mots de passe difficiles à mémoriser sont notés. Il en va de même pour les mots de passe qui doivent être modifiés trop souvent. En fin de compte, cela dépend de ce que vous protégez et de votre base d'utilisateurs.

La stratégie doit refléter la raison pour laquelle les utilisateurs utilisent les ordinateurs et la sensibilité des informations que l'utilisateur y traite. S'il ne s'agit que de contenir les préférences des utilisateurs, vous n'en avez pas vraiment besoin fortement fortifié si tout le reste est en place pour repousser les attaques. Si le contraire est le cas, je préférerais que les utilisateurs agacés gémissent sur les mots de passe complexes à retenir.

J'ai environ 20 mots de passe complexes dans ma tête en tout temps, et j'ai commencé à les créer en utilisant des modèles sur le clavier pour les mémoriser. Cela facilite les choses car je n'ai besoin que de connaître le point de départ et le type de motif à créer. Tout le monde déteste changer les mots de passe, mais cette technique me permet de les changer facilement et de m'en souvenir, donc la sécurité est serrée .. pour moi au moins. Je peux même noter une lettre sur un morceau de papier tout en me rappelant le motif à faire, et je ne me souviens pas trop bien des choses. Si cela a une utilité pour quiconque cependant ... je ne sais pas.

Écrire un mot de passe complexe sans le masquer me semble tout simplement faux. Si quelqu'un essaie de s'introduire physiquement dans un ordinateur, vous pouvez être sûr qu'il recherchera un témoin.

Je crois, lorsque je travaillais pour un établissement de santé, que certaines de nos exigences provenaient de la HIPAA. Je n'ai pas regardé les règlements SOX (que je suppose que j'adhère maintenant dans le monde de l'assurance), mais ils peuvent avoir un langage similaire comme base pour ce genre de chose.

Au-delà de cela, si vous faites partie d'une plus grande organisation informatique (subdivision dans une grande entreprise), la société peut avoir des règles qui pourraient être respectées.

L'essentiel doit être que, quelle que soit la politique mise en œuvre, elle soit bénie par la haute direction, et de préférence écrite dans une politique de sécurité ou informatique dont tout le personnel doit être informé / adhérer. Il n'a pas besoin d'être draconien (changer le mot de passe tous les 180 jours, combinaison d'alpha et de chiffres), mais cela devrait être la politique de l'entreprise afin que tout le monde soit clair sur l'exigence.

Été quelques bonnes suggestions donc je vais juste ajouter ceci:

Tant que vous êtes en mesure de vous assurer que vous pouvez être exempté de la politique ... J'ai une bonne mémoire, donc personnellement je préfère pouvoir utiliser un mot de passe de 18 caractères qui est ridiculement complexe pendant 6 mois ou plus qu'un simple que je dois changer une fois par mois.

Gardez à l'esprit qu'un mot de passe de 16 caractères qui n'utilise que des lettres et des espaces minuscules et majuscules donne 53 ^ 16 combinaisons ou 3,876 * 10 ^ 27, tandis que les mots de passe de 10 caractères qui utilisent des lettres minuscules et majuscules, des chiffres et des symboles ne donnent que 95 ^ 10 ou 5,987 * 10 ^ 19.