Passordskifte i utide

SANS Handler's Diary skrev for en tid tilbake en blogpost angående passordbytte, der vi i Telenor SOC er enig:

Veldig mange driftsorganisasjoner praktiserer en policy om at brukere må bytte passord flere ganger i året, typisk 4 ganger i året. Men hvorfor?

De vanlige måtene for å lure til seg et passord fra en bruker er enten å spørre etter det (phishing eller social engineering), bruteforce av forskjellige slag eller keylogging. Men hvilke av disse metodene blir mindre vellykket om man skifter passord ofte?

Ingen!

Har en bruker lagd et passord som er svakt, vil han mest sannsynlig lage et like svakt passord neste gang. Har derimot en bruker laget et godt passord, så vil han bli irritert over å måtte lage et like bra passord neste gang. Og da vil enten passordet blir en variant av forrige passord eller rett og slett et dårligere passord.

I tillegg blir det da lett for brukere å benytte seg av det samme passordet flere steder, noe som gjør det lettere for en angriper å få tak i passordet.

Hvorfor praktiserer så mange denne regelen angående passordbytte? Vel, den har hengt med fra tidenes morgen, da passord var et lite kort ord som lett kunne knekkes. Nå er derimot ikke dette tilfellet lengre, men regelen er her fortsatt. Én positiv ting med passordbytte er hvis noen allerede har fått tak i passordet ditt og har tilgang, så vil jo de stenges ute (for en viss tid i alle fall).

Spørsmålet er derimot om det er bedre med et godt og langt passord som er tilnærmet umulig å bryte, enn et passord som en angriper knekker og dermed får tilgang til systemer inntil brukeren må bytte passord igjen..