рекомендуемый срок жизни пароля в банке

Рекомендации Microsoft по отключению срока действия паролей: следствия и выводы

Как вам уже известно, Microsoft поменял своё руководство по политикам срока действия паролей. В мае 2019 года они разместили пост в своем блоге с пояснениями этого решения.
Эксперты в сфере кибербезопасности знают, что среднестатистический человек имеет пароль, который удобно вводить, и поэтому его легко подобрать компьютеру. При этом необходимость его смены раз в несколько месяцев не меняет того факта, что такие пароли легко подобрать. Мощность современных компьютеров позволяет подобрать перебором пароль длиной в 8 цифробуквенных символов за несколько часов. Смена одного или двух символов из этих восьми не сделает задачу сложнее.

С момента выхода рекомендаций Microsoft прошло уже достаточно много времени и самое время сделать выводы, стоит ли совсем избавиться от срока действия паролей? На самом деле не всё так просто.

Политика срока действия паролей является всего лишь одним из кирпичиков в стене кибербезопасности. Не стоит доставать один из кирпичей стены, если у вас нет других методов защиты для компенсации такого действия. Поэтому лучше всё же сконцентрировать внимание на самых крупных факторах риска в организации и проработать стратегию кибербезопасности таким образом, чтобы сократить именно их.

Зачем избавляться от политик срока действия паролей?

Аргументация Microsoft по этому вопросу заключается в том, что политики срока действия паролей несут малую ценность с точки зрения информационной безопасности. В результате они больше не рекомендуют их применение и исключили этот элемент из структуры фундаментального уровня кибербезопасности от Microsoft.

Но Microsoft не просит отключить все ваши политики паролей сиюминутно. Они лишь информируют, что вашей стратегии ИБ нужно что-то большее, чем просто истечение срока действия паролей.

Стоит ли удалять политику паролей?

Большинству организаций следует оставить политику срока действия паролей без изменений. Подумайте над следующим простым вопросом: что будет, если у пользователя украдут пароль?
Политики паролей помогают снизить напор атакующего, заблокировав его жизненно важный канал доступа внутрь сети. Чем короче срок действия пароля, тем меньше остаётся времени на компрометацию системы и вывод данных (если только атакующий не воспользовался другой точкой входа). Microsoft считает, что всё те же политики, нацеленные изначально на исключение скомпрометированных паролей из ротации, по факту только поощряют плохую практику – например, повторное использование и слабую итерацию (vesna2019, leto2019, zima2019) паролей, шпаргалки на мониторах и т.д.

Словом, в Microsoft верят, что риск от плохих практик использования паролей на самом деле выше, чем выгода от внедрения политик по сроку действия. Мы в Varonis отчасти с этим согласны, но на самом деле существует сильное недопонимание того, что требуется компании для готовности к отказу от таких политик.

Данное изменение сильно повышает удобство работы пользователям и его легко внедрить, но в итоге есть вероятность только увеличить общие риски, если вы не следуете другим лучшим практикам в индустрии, таким как:

Пароли наконец-то отмирают?

В этом и заключается основной вопрос, не так ли?

Есть несколько технологий, стремящихся заменить пароли как протокола аутентификации де факто. FIDO2 хранит идентификационные данные на физическом устройстве. Биометрия, несмотря на сомнения касательно «уникальности, но отсутствия конфиденциальности», также является потенциальным вариантом.

Новая парадигма заключается в поиске методов аутентификации, которые нельзя случайно передать или легко украсть. Но пока что такие технологии не пробились из корпоративного
сектора в мейнстрим. До этих пор, Varonis рекомендует оставить ваши политики срока действия паролей без изменений, а неудобство пользователей считать небольшим во имя общего блага.

Как Varonis помогает защититься от кражи учётных данных

Varonis предоставляет дополнительную защиту для усиления ваших политик паролей. Мы отслеживаем файловую активность, события в Active Directory, телеметрию периметра и другие ресурсы для построение базовой модели поведения пользователей. Затем сравниваем её с текущим поведением на базе встроенных моделей угроз чтобы понять, не скомпрометирован ли аккаунт. Дэшборд Active Directory показывает учётные записи, которые подвержены риску компрометации, такие как сервисные учетные записи с административными привилегиями, паролем без срока действия или вообще не требующих соответствия заданным в политиках требованиям. Модели угроз также выявляют различные варианты аномалий входа в систему, таких как вход в нестандартное время суток, вход с нового устройства, потенциальная брутфорс- или ticket harvesting атака.

До этих пор, лучше всё же оставить ваши политики срока действия паролей на месте.

А если вы захотите посмотреть Varonis в действии, запишитесь на нашу живую демонстрацию кибератак. Мы покажем, как проводить атаку, и продемонстрируем способы обнаружения и расследования таких инцидентов на базе нашей платформы.

Источник

Сроки действия и история пароля

Так же как и приложения, пароли устаревают, потому что пользователи обычно не меняют свои пароли регулярно, используя их на протяжении нескольких лет. Это утверждение особенно справедливо в отношении аккаунтов электронной почты провайдеров Иитернет-услуг (ISP). процедура замены паролей которых очень сложна. Вам необходимо требовать от пользователей регулярной замены пароля, как это делают некоторые web-сайты.

Однако установить корректный интервал времени, через который необходимо менять пароль, нелегко. Если максимальный срок действия пароля составляет б месяцев, возрастает риск несанкционированного раскрытия пароля. Но если запрашивать изменение пароля каждые 30 дней, вы скоро обнаружите, что люди начнут пользоваться шаблонами, то есть использовать последовательные пароли или пароли, основанные датах. Таким образом, слишком частое изменение паролей на деле может привести к снижению защиты системы. Более того, если пользователь заходит на web-сайт не чаще одного раза в несколько месяцев и обнаруживает, что ему необходимо каждый раз менять свой пароль, он будет недоволен подобной системой.

Чтобы рассчитать оптимальный срок действия пароля, задайте себе несколько вопросов:
1. Насколько важны защищаемые данные?
2. Как часто пользователь заходит в приложение?
3. Сколько времени займет вычисление пароля, основанного на ваших требованиях по его усложнению?

Срок действия непосредственно связан с историей пароля, которая представляет собой список предыдущих паролей, употребляемых данным пользователем. История пароля предостерегает от выбора в качестве нового пароля тот, которым он уже пользовался ранее. Система будет отвергать пароль каждый раз, когда он будет совпадать с паролем из списка. Многие системы запоминают от трех до пяти ранее используемых паролей, однако есть и такие, которые хранят до 20 и более. История паролей не занимает существенного объема памяти, поэтому есть смысл ее хранить.

Подсказка: Минимальный срок действия пароля иногда может причинять неудобства, однако дня или даже часа может быть достаточно для того, чтобы пользователь не смог многократно переустанавливать пароль, пытаясь заполнить список истории. Если вы устанавливаете минимальный срок действия пароля, убедитесь, что администраторы могут отменить эту меру.

Установка срока действия пароля и история требуют дополнительных полей базы данных, чтобы проследить, когда пароль был установлен, и иметь возможность хранить список недавних паролей. Также существует дополнительное процессорное требование хэширования пароля и сравнения его с каждым входом списка истории. Можно устанавливать различные сроки действия пароля, как для индивидуальных пользователей, так и для групп, или выбрать единый подход для всей системы. Преимуществом единого метода для всей системы является то, что вы можете «угасить», сделать недействительными все пароли одновременно в случае крайней необходимости, например, если осуществлено вторжение на сервер.

Дату истечения срока действия пароля нужно проверять сразу же после того, как пользователь успешно пройдет аутентификацию в системе, но до того, как ему будет разрешен вход в систему. Если вы организовали аутентификацию с использованием одной библиотеки, вам будет легче выполнять проверку срока действия пароля. Если срок действия пароля ещё не истек, но уже близок к этой дате, можно предупредить пользователя о скором окончании срока действия пароля.

Перед тем как присваивать пользователю новый пароль, проверьте историю пароля и минимальный срок действия пароля.

Выводы:
1. Установите максимальный срок действия пароля, подходящий вашему приложению и пользователям;
2. Сохраняйте список недавних паролей для предупреждения их повторного использования;
3. Если возможно, определите минимальный временной интервал между переустановкой паролей.

Источник

Как хранить пароли и пины, чтобы не потерять деньги

Почему хранить на бумажке небезопасно

Андрея взломали в Одноклассниках: увели весь урожай с фермы и поставили всем бывшим одноклассницам единицы на фотографии — теперь на встрече выпускников ему не рады.

У Андрея 5 карт разных банков. Запомнить все пароли и коды от карт он не может, поэтому пароли он хранил на бумажке под клавиатурой и никому не говорил. Если правда не говорил, остается только одно: хакеры научились взламывать бумажки с паролями.

Пин нельзя записывать на бумажке и хранить ее в кошельке вместе с картами: если кошелек украдут, вор сможет снять все деньги. Тем более нельзя писать пин на карте: это равносильно подписи на приговоре о своем финансовом расстреле.

Специалисты по информационной безопасности рекомендуют создавать разные пароли для каждого сайта. Это не должен быть пароль из простого слова, даты или qwerty123.

Запомнить все это сложно, но реально. У меня уникальный пароль для каждого сайта, а для каждой карты свой пин. Я их нигде не записываю и даже не помню некоторые наизусть, но всегда ввожу с первого раза. Я освоил техники, которые позволяют упростить жизнь и освободить память для более важных вещей.

Расскажу, как освободить свой разум и помнить все.

Если вы не хотите запоминать кучу паролей, можно завести программу, дополнение к браузеру или приложение для телефона, которое будет за вас придумывать сложные пароли — например, 29Gsf!&Rjjx292)(2424r — а потом подставлять их на сайтах.

Оно даже запомнит, какой у вас логин на тематическом форуме: kisa1956 или allaivanovna56. Достаточно запомнить мастер-пароль и вводить его при запуске программы. Однако если забыть мастер-пароль, то восстановить доступ к менеджеру паролей будет практически нереально.

Заставить телефон помнить данные карт за вас

Тут даже запоминать ничего не придется, пароль всегда с вами: это отпечаток пальца или ваше лицо, если у вас Айфон Х. Многие приложения поддерживают оплату через «Гугл-пэй» или «Эпл-пэй», не нужно вводить реквизиты карты, телефон все сделает сам. В магазинах можно платить, прикладывая к терминалу телефон вместо карты, но при покупке свыше 1000 Р все же придется ввести пин.

Не запоминать одноразовые пароли

Некоторые сайты и приложения предлагают настроить дополнительную проверку личности: ее называют двухфакторной аутентификацей. Обычно это код, который приходит на телефон в смс после ввода пароля, или письмо со ссылкой, на которую нужно нажать. Я советую включать такую проверку при любой возможности, особенно если у вас везде один и тот же пароль или вы пытаетесь сберечь что-то ценное. Пароль может быть везде простой и одинаковый, а коды для проверки будут всегда разные.

Как не попасться на удочку хакеров

Пин может находиться прямо на вашей карте, но его будете видеть только вы. Секрет прост: нужно придумать алгоритм генерации пина с помощью номера карты. Я делаю так: беру значимое для меня двузначное число 42 — ответ на вопрос жизни, вселенной и всего такого. Это мой якорь и первые две цифры моего пина. А вторые две цифры я беру с карты: четвертую и вторую с конца номера.

Как безопаснее платить в магазинах и кафе

Вы можете придумать свою систему: выбрать другой якорь и брать другие цифры — например, месяц срока годности или первую из месяца и последнюю из номера карты. В итоге для каждой карты пин будет разным. Даже не помня его наизусть, но помня алгоритм, вы посмотрите на карту и освежите код в памяти.

Придумать легкий, но сильный пароль для каждого сайта

Для всех сайтов у меня разные пароли из 14 и больше символов, но я всегда ввожу их с первого раза. Все потому, что у меня есть алгоритм, позволяющий генерировать пароль из адреса сайта и не запоминать его:

Пароль для сайта yandex.ru — 2VivaLaFranceya, а для google.com — 3VivaLaFrancego. Можно усложнить алгоритм как угодно: писать цифры буквами, брать больше букв из имени сайта в определенном порядке и тому подобное. Все это сделает пароль еще сложнее и крепче, но главное, чтобы он был длинным.

Иногда мне нужно поставить пин куда-нибудь, кроме карты: на телефон, мобильное приложение, сейф. Тогда я, не мудрствуя лукаво, составляю код из первых чисел какой-нибудь последовательности. Можно брать последовательность чисел Фибоначчи, простых чисел, числа пи после запятой — если вы, конечно, все это помните. Эти ряды бесконечны, можно использовать комбинацию любой длины.

Использовать память рук

Долгое время я не мог вспомнить свой код от домофона, но каждый раз спокойно его набирал. Пальцы запомнили последовательность движений и сами тянулись к нужным кнопкам. Я не мог продиктовать номер мамы, но пальцы сами набирали его, стоило лишь открыть на смартфоне панель вызова.

Но для этого нужно время, гораздо проще открыть перед собой панель вызова и начать набирать нужную последовательность цифр: пин, номер страховки, телефона, дату рождения племянника. Тренируйтесь время от времени, а когда придет пора вспоминать — откройте панель набора и позвольте вашим пальцам самим набрать нужное число.

Рекорд по запоминанию числа пи — 30 млн знаков после запятой. Я таким результатом похвастаться не могу, но могу научить, как после небольшой тренировки запоминать номера телефонов или пинов.

Дело в том, что наш мозг не предназначен для эффективного запоминания цифр, но хорошо запоминает истории и события. Превратим число в историю. Например, пин 4232.

В четыре часа утра Васю разбудил стук в дверь. Вася открыл, а на пороге стояло два мужика. Они протянули ему три розы и сказали: «Поздравляем с двумя годами трезвости».

Звучит бредово, но в этом суть. Бредовые и сюрреалистические истории наш мозг запомнит даже лучше обычных. Легко представить себе эту историю в голове и собрать из ключевых элементов пин — 4232. Как-то раз я смотрел передачу про американца, который мог запомнить таким образом больше сотни цифр: он писал в голове рассказ, вплетая числа в ключевые элементы сюжета. Правда, после каждой новой цифры ему было нужно время, чтобы что-нибудь сочинить.

Ассоциировать цифры с буквами и составлять слова

Это более продвинутый вариант предыдущего способа. Каждой цифре ставится в соответствие буква по легко запоминаемому ассоциативному правилу: 0 = «н», потому что слово начинается с буквы «н», 8 = «в», так как в ней тоже два кружочка и тому подобное. Необходимо будет составить табличку, содержащую только согласные буквы и запомнить ее наизусть.

Добавляя к согласным гласные, можно составлять слова, обозначающие числа: « го ро д» обозначает число 192, а « де ре вня» — 2980. Составляя из таких слов предложения, можно запоминать длинные последовательности чисел. Номер телефона 8 800 555-77-78 можно конвертировать во фразу «Вова ныне папа без засова». Если вызубрить таблицу и наловчиться переводить согласные в цифры, то из фразы можно быстро извлечь нужный номер.

В книге рекомендуется брать заранее заготовленные и заученные слова для быстрого составления ассоциаций и фраз.

Не можете запомнить, когда у начальника день рождения — 05.04 или 04.05? Зато сможете запомнить фразу «На обои пролили щи» и поздравлять его в апреле. А с помощью фразы «Из Оки торчат усы» вы сможете запомнить номер его кабинета — 37.

Источник

Периодическая смена паролей — устаревшая практика, пришло время от неё отказаться

Во многих IT-системах действует обязательное правило периодической смены паролей. Это, пожалуй, самое ненавистное и самое бесполезное требование систем безопасности. Некоторые пользователи в качестве лайфхака просто меняют цифру в конце.

Такая практика вызывала массу неудобств. Однако людям приходилось терпеть, ведь это ради безопасности. Теперь этот совет совершенно не актуален. В мае 2019 года даже компания Microsoft наконец-то убрала требование периодической смены паролей из базового уровня требований безопасности для персональных и серверных версий Windows 10: вот официальное заявление в блоге со списком изменений к версии Windows 10 v 1903 (обратите внимание на фразу Dropping the password-expiration policies that require periodic password changes). Сами правила и системные политики Windows 10 Version 1903 and Windows Server 2019 Security Baseline внесены в комплект Microsoft Security Compliance Toolkit 1.0.

Можете показать эти документы начальству и сказать: времена изменились. Обязательная смена паролей — архаизм, теперь практически официально. Даже аудит безопасности теперь не будет проверять это требование (если он ориентируется на официальные правила по базовой защите компьютеров под Windows).

Фрагмент списка с базовыми политиками безопасности Windows 10 v1809 и изменения в 1903, где соответствующие политики по времени действия паролей уже не применяются. Кстати, в новой версии по умолчанию также отменяются администраторский и гостевой аккаунты

Microsoft популярно объясняет в блоге, почему отказалась от правила обязательной смены пароля: «Периодическое истечение срока действия пароля является защитой только от вероятности того, что пароль (или хэш) будет украден в течение его срока действия и будет использоваться неавторизованным лицом. Если пароль не украден, нет смысла его менять. И если у вас есть доказательства того, что пароль украден, вы, очевидно, захотите действовать немедленно, а не ждать истечения срока действия, чтобы устранить проблему».

Далее Microsoft объясняет, что в современных условиях неправильно защищаться от кражи паролей таким методом: «Если известно, что пароль, вероятно, будет украден, сколько дней является приемлемым периодом времени, чтобы позволить вору использовать этот украденный пароль? Значение по умолчанию — 42 дня. Разве это не кажется смехотворно долгим временем? Действительно, это очень долго, и всё же наш текущий базовый показатель был установлен на 60 дней — а раньше на 90 дней — потому что форсирование частого истечения вводит свои собственные проблемы. И если пароль не обязательно будет украден, то вы приобретаете эти проблемы без пользы. Кроме того, если ваши пользователи готовы обменять пароль на конфетку, никакая политика истечения срока действия паролей не поможет».

Альтернатива

Microsoft пишет, что её базовые политики безопасности предназначены для использования хорошо управляемыми, заботящимися о безопасности предприятиями. Они также призваны служить руководством для аудиторов. Если такая организация внедрила списки запрещённых паролей, многофакторную аутентификацию, обнаружение атак с брутфорсом паролей и обнаружение аномальных попыток входа в систему, требуется ли периодическое истечение срока действия пароля? А если они не внедрили современные средства защиты, то поможет ли им истечение срока действия пароля?

Логика Microsoft на удивление убедительна. У нас два варианта:

Во втором случае периодическая смена пароля бесполезна.

Таким образом, вместо срока действия пароля нужно использовать, в первую очередь, многофакторную аутентификацию. Дополнительные меры защиты перечислены выше: списки запрещённых паролей, обнаружение брутфорса и других аномальных попыток входа в систему.

«Периодическое истечение срока действия пароля является древней и устаревшей мерой защиты, — подводит итог Microsoft, — и мы не считаем, что для нашего уровня базовой защиты стоит применять какое-либо конкретное значение. Удаляя его из нашего базового уровня, организации могут выбирать то, что наилучшим образом соответствует их предполагаемым потребностям, не противореча нашим рекомендациям».

Вывод

Если компания сегодня заставляет пользователей периодически менять пароли, что может подумать сторонний наблюдатель?

Источник

Суд: банки обязаны хранить персональные данные своих клиентов не менее 5 лет, даже если они отозвали свое согласие

AlexLipa / Depositphotos.com

Согласие на обработку персональных данных может быть отозвано субъектом персональных данных (ч. 2 ст. 9 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», далее – Закон № 152-ФЗ). Однако оператор вправе продолжить обработку сведений о лице без его согласия в случаях, когда это необходимо для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных, оператора или третьих лиц или прямо закреплены в законе (п. 2-11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона № 152-ФЗ).

Так, по одному делу, где ответчиком выступил банк, персональные данные по требованию суда изъяты не были (апелляционное определение Московского городского суда от 14 июня 2019 года по делу № 33-25479). Гражданин обратился в банк с заявлением на открытие счета и получение банковской карты, в чем ему отказали. После этого он написал заявление об отзыве согласия на обработку его персональных данных и уничтожении их по соответствующему акту, который ему не был предоставлен. В связи с этим он обратился в суд с требованием к банку прекратить правоотношения между ними, восстановить положение дел, существовавшее до момента обращения в банк об открытии счетов, признать недействительными и отозвать сведения об истце, направленные в Росфинмониторинг.

Районный суд, а позднее, и апелляционный суд, куда обратился гражданин, отказали ему в удовлетворении исковых требований, указав на то, что хранение персональных данных должно осуществляться в форме, позволяющей определить их владельца, не дольше, чем этого требуют цели обработки полученной информации, если срок хранения сведений не установлен. Суды отметили, что обрабатываемая информация подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если не предусмотрено иное. При этом организации, осуществляющие операции с денежными средствами или иным имуществом, обязаны хранить документы, содержащие сведения для идентификации личности, не менее пяти лет (п. 4 ст. 7 Федерального закона от 7 августа 2001 г. № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма»). В связи с этим суды отметили, что банк должен хранить персональные данные истца в течение не менее 5 лет со дня прекращения отношений, а также в предусмотренных законом случаях предоставлять информацию и документы уполномоченному органу по его запросу. Суды также напомнили, что банк обязан предоставлять информацию и документы, по запросу уполномоченного органа и это не будет являться нарушением служебной, банковской или коммерческой тайны.

При этом в случае отзыва согласия субъектом персональных данных, если не предусмотрено иное, оператор обязан прекратить их обработку не позднее 30 дней с даты поступления указанного отзыва, а значит клиенту банка не должны поступать звонки с предложениями услуг, однако суды этот вопрос не уточнили (п. 5 ст. 21 Закона № 152-ФЗ).

Источник