Qui est responsable de la force des mots de passe de l'utilisateur?
Qui est responsable de la force du mot de passe d'un utilisateur? Est-ce que nous nous (développeurs, architectes, etc.) ou l'utilisateur?
En tant que développeur Web, je me suis souvent demandé si je devrais faire respecter la force de mot de passe minimale sur mes utilisateurs de sites Web/applications.
Je rencontre fréquemment des personnes régulières (pas des geeks ni des professionnels informatiques) qui la déteste quand elles sont tenues de mélanger des lettres inférieures et majuscules, ajouter des chiffres, sans parler d'autres caractères de leurs mots de passe.
Je préférerais mesurer la force des mots de passe et n'informerai que l'utilisateur à ce sujet plutôt que de le mandater. De cette façon, ceux qui n'aiment pas ajouter de chiffres ni de cas de mélange seraient informés, mais autorisés à utiliser des mots de passe faibles.
Je mettrais toujours une exigence de longueur minimale, mais devrais-je appliquer des exigences minimales supplémentaires?
Si un utilisateur, qui possède un mot de passe un mot très simple, son compte a-t-il piraté dans une attaque de dictionnaire, est-ce de sa faute ou est-ce notre faute que nous avons autorisée pour un mot de passe aussi simple?
Vous ne pouvez pas répondre à cette question sans répondre à la question suivante
Si le mot de passe d'un utilisateur est compromis, cela ne fait que mettre cet utilisateur/que les données de l'utilisateur à risque ou met-elles également des autres utilisateurs à risque?
Si le système ne fonctionne pas compartimentaliser comptes, un utilisateur ne peut pas protéger ses données en choisissant les informations d'identification appropriées, les administrateurs doivent donc être responsables, en partie, pour la sécurité globale de la Communauté.
Si le système comptabilise des comptes, un utilisateur ne peut que nuire à eux-mêmes en choisissant de faibles informations d'identification, de sorte que la responsabilité de la responsabilité de l'utilisateur peut être appropriée.
Par exemple, les boîtes aux lettres de messagerie sont bien compartimentées; compromettant un compte ne compromet pas beaucoup d'autres. Certains comptes pourraient être mis en place pour ne pas traiter comme courrier spam à partir d'autres comptes, mais il existe de nombreuses autres façons de Impersonate envoyer des expéditeurs de messagerie afin que la possibilité d'envoyer des courriels en tant qu'utilisateur n'est pas souvent une énorme escalade de l'autorité. . Un administrateur peut abdiquer la responsabilité de la force du mot de passe sans compromettre la sécurité du système.
Mais les systèmes de fichiers et les référentiels de code source ne sont pas bien compartimentés. Compromettre un compte dont ~/bin Le répertoire est sur les autres utilisateurs 'PATHs, ou qui a validé l'accès à un référentiel de code source vital peut conduire au compromis de nombreux autres comptes et systèmes via Trojans . Dans ce cas, compromettre un compte déclenche l'autorité à l'échelle de l'autorité; Les administrateurs ne peuvent pas abdiquer la responsabilité de la force du mot de passe car ils ne peuvent pas abdiquer la responsabilité de la santé du système.
Il me semble qu'il y a deux problèmes distincts qui doivent être couverts dans la question.
tilisateurs choisissant des mots de passe faibles.
La responsabilité de cette pièce peut être concevable de trois manières:
- Les bureaux de gestion et de sécurité informatique au sein de l'organisation doivent définir des politiques appropriées pour la force de mot de passe, l'actualisation et la réutilisation.
- Les développeurs doivent bien mettre en œuvre des restrictions techniques qui appliquent ces politiques.
- Les utilisateurs doivent suivre l'esprit de ces politiques, pas seulement la "lettre de la loi", afin de créer des mots de passe "forts".
En fin de compte, la responsabilité de la "force" du mot de passe est absolument atteinte à l'utilisateur. (Bien que la loi puisse juger différemment - je ne suis pas un avocat, je ne peux donc pas parler de telle.) Pourtant, ce serait irresponsable de nous (Sécurité informatique, gestion, développeurs, etc.) à non Établir et appliquer les politiques de mot de passe appropriées et éduquer les utilisateurs sur la nécessité et la mise en œuvre correcte de ces politiques.
compromis de la base de données de mot de passe.
Pour répondre pleinement à la question:
"Si un utilisateur qui a un mot de passe très simple, son compte a-t-il piraté dans une attaque de dictionnaire, c'est sa faute ou est-ce notre faute que nous avons autorisée pour un mot de passe aussi simple?"
Nous devons également répondre à la manière dont l'attaque du dictionnaire est devenue possible en premier lieu. C'est-à-dire qui était responsable de la protection de la base de données de mot de passe? Cela tombe en deux groupes et - si les médias sont une bonne mesure - ils reflètent probablement qui est le plus susceptible d'être blâmé au moins publiquement, sinon juridiquement, pour des comptes étant détournés.
- Les bureaux de gestion et de sécurité informatique au sein de l'organisation doivent définir des politiques appropriées concernant la maintenance et la sécurité des serveurs de l'organisation.
- Les développeurs doivent bien mettre en œuvre ces politiques à la fois dans l'application technique et en pratique générale.
Si la base de données de mot de passe est exposée à un attaquant, Les mots de passe peuvent être fissurés quelle que soit la force. Ce n'est qu'une question de combien de temps et de pouvoir informatique que l'attaquant est prêt à consacrer à la tâche. C'est entièrement la responsabilité de l'organisation (Sécurité informatique, gestion et développeurs) d'effectuer une diligence raisonnable et de donner leur meilleur effort dans la prévention de cela.
Le développeur parce que c'est votre faute ou non, ils vous blâmeront lorsque leur compte est compromis.