Wachtwoordbeleid

typische componenten van een wachtwoordbeleid zijn:

wachtwoordlengte en formatiedit

zie ook: wachtwoordsterkte

veel beleidsregels vereisen een minimale wachtwoordlengte. Acht karakters is typisch, maar is mogelijk niet geschikt. Langere wachtwoorden zijn over het algemeen veiliger, maar sommige systemen leggen een maximale lengte op voor compatibiliteit met oudere systemen.

sommige beleidsregels suggereren Of stellen vereisten op aan welk type wachtwoord een gebruiker kan kiezen, zoals:

  • het gebruik van zowel hoofdletters als kleine letters (hoofdlettergevoeligheid)
  • het opnemen van een of meer numerieke cijfers
  • het opnemen van speciale tekens, zoals @, #, $
  • verbod op woorden in een wachtwoordblokkelijst
  • verbod op woorden in de persoonlijke informatie van de gebruiker
  • verbod op het gebruik van bedrijfsnaam of een afkorting
  • verbod op wachtwoorden die overeenkomen met het formaat kalenderdata, kentekenplaatnummers, telefoonnummers of andere gangbare nummers

andere systemen initiële wachtwoord voor de gebruiker; maar vereisen dan om het te veranderen in een van hun eigen keuze binnen een korte interval.

password block listEdit

password block lists zijn lijsten met wachtwoorden die altijd geblokkeerd zijn voor gebruik. Bloklijsten bevatten wachtwoorden gemaakt van tekencombinaties die anders voldoen aan het bedrijfsbeleid, maar mogen niet langer worden gebruikt omdat ze onveilig zijn geacht om een of meer redenen, zoals gemakkelijk te raden, volgens een gemeenschappelijk patroon, of openbaarmaking van eerdere datalekken. Veelvoorkomende voorbeelden zijn Password1, Qwerty123 of Qaz123wsx.

Password durationEdit

sommige beleidsregels vereisen dat gebruikers de wachtwoorden periodiek wijzigen, vaak om de 90 of 180 dagen. Het voordeel van het verstrijken van een wachtwoord is echter discutabel. Systemen die een dergelijk beleid implementeren voorkomen soms dat gebruikers een wachtwoord kiezen dat te dicht bij een vorige selectie ligt.

dit beleid kan vaak averechts werken. Sommige gebruikers vinden het moeilijk om “goede” wachtwoorden te bedenken die ook gemakkelijk te onthouden zijn, dus als mensen veel wachtwoorden moeten kiezen omdat ze deze vaak moeten veranderen, gebruiken ze uiteindelijk veel zwakkere wachtwoorden; het beleid moedigt gebruikers ook aan om wachtwoorden neer te schrijven. Ook, als het beleid voorkomt dat een gebruiker een recent wachtwoord herhaalt, dit vereist dat er een database bestaat van ieders recente wachtwoorden (of hun hashes) in plaats van het hebben van de oude gewist uit het geheugen. Tot slot, gebruikers kunnen hun wachtwoord herhaaldelijk veranderen binnen een paar minuten, en dan terug te veranderen naar degene die ze echt willen gebruiken, het omzeilen van het wachtwoord veranderen beleid helemaal.

de menselijke aspecten van wachtwoorden moeten ook in aanmerking worden genomen. In tegenstelling tot computers kunnen menselijke gebruikers het ene geheugen niet verwijderen en het vervangen door een ander. Bijgevolg is het vaak veranderen van een gememoriseerd wachtwoord een belasting op het menselijk geheugen, en de meeste gebruikers hun toevlucht nemen tot het kiezen van een wachtwoord dat relatief gemakkelijk te raden is (zie Password fatigue). Gebruikers worden vaak geadviseerd om geheugensteuntjes te gebruiken om complexe wachtwoorden te onthouden. Echter, als het wachtwoord herhaaldelijk moet worden gewijzigd, ezelsbruggen zijn nutteloos omdat de gebruiker niet zou herinneren welke ezelsbruggetje te gebruiken. Bovendien maakt het gebruik van mnemonics (wat leidt tot wachtwoorden zoals “2BOrNot2B”) het wachtwoord gemakkelijker te raden.

administratieve factoren kunnen ook een probleem zijn. Gebruikers hebben soms oudere apparaten die een wachtwoord vereisen dat werd gebruikt voordat de wachtwoordduur is verlopen. Om deze oudere apparaten te beheren, kunnen gebruikers hun toevlucht nemen tot het opschrijven van alle oude wachtwoorden in het geval dat ze nodig hebben om in te loggen op een ouder apparaat.

een zeer sterk wachtwoord vereisen en niet vereisen dat het wordt gewijzigd is vaak beter. Deze aanpak heeft echter een groot nadeel: als een onbevoegde persoon een wachtwoord verwerft en het gebruikt zonder te worden gedetecteerd, kan die persoon toegang hebben voor een onbepaalde periode.

deze factoren moeten worden afgewogen: de kans dat iemand een wachtwoord gist omdat het zwak is, versus de kans dat iemand erin slaagt om een sterker wachtwoord te stelen of anderszins te verwerven zonder te raden.

Bruce Schneier beargumenteert dat “vrijwel alles wat men kan onthouden, gekraakt kan worden”, en beveelt een schema aan dat wachtwoorden gebruikt die niet in een woordenboekje verschijnen.

SanctionEdit

wachtwoordbeleid kan progressieve sancties omvatten, beginnend met waarschuwingen en eindigend met mogelijk verlies van computerrechten of beëindiging van taken. Waar vertrouwelijkheid wettelijk verplicht is, bijv. met geheime informatie kan een overtreding van het wachtwoordbeleid een strafbaar feit zijn. Sommigen zijn van mening dat een overtuigende verklaring van het belang van veiligheid doeltreffender is dan het dreigen met sancties.

Geef een antwoord

Het e-mailadres wordt niet gepubliceerd.