Domanda:
Come posso verificare che gli utenti non annotino le loro password?
Vladimir
2019-07-03 13:28:33 UTC
view on stackexchange narkive permalink

Ho una politica sulle password che afferma che gli utenti non devono scrivere e memorizzare le proprie password in testo normale. Come posso assicurarmi che non lo abbiano fatto scrivendo la loro password in e-mail, script, documenti o file?

I commenti non sono per discussioni estese;questa conversazione è stata [spostata in chat] (https://chat.stackexchange.com/rooms/95689/discussion-on-question-by-vladimir-how-do-i-check-that-users-dont-write-giù).
Richiedi accesso tramite certificato.e.g.tramite token di autenticazione hardware.
Dodici risposte:
#1
+169
dlsso
2019-07-04 03:32:35 UTC
view on stackexchange narkive permalink

Come altri hanno detto, non puoi fermarli. Ma puoi rimuovere l'incentivo.

La tua politica per le password richiede uno dei seguenti requisiti?

  • Modifica a intervalli regolari
  • Inserimento manuale (gestori di password bloccati)
  • Formato complesso (casi diversi, caratteri speciali, ecc.)

In tal caso, stai attivamente incentivando le persone a scrivere il password giù. Abbandona la policy sulle password obsolete e i tuoi utenti saranno molto più propensi a partecipare.

Suggerimenti basati sulle nuove linee guida del NIST. C'è un bel riepilogo qui.

I commenti non sono per discussioni estese;questa conversazione è stata [spostata in chat] (https://chat.stackexchange.com/rooms/95780/discussion-on-answer-by-dlsso-how-do-i-check-that-users-dont-write-down-their-p).
#2
+138
undo
2019-07-03 13:45:50 UTC
view on stackexchange narkive permalink

Non è possibile essere sicuri che un utente non abbia annotato la propria password. Anche se hai accesso completo al loro computer, cosa succede se lo annotano sul loro telefono? O sulla carta?

E anche se avessi accesso a tutti i loro dispositivi, puoi controllare che non abbiano annotato la password solo se tu, in qualità di amministratore di sistema, tu stesso conosci la password. Cosa che non dovresti! Le password dovrebbero essere sempre sottoposte ad hashing e mai archiviate in testo normale o in una forma che ti consenta di recuperare la password originale.

E i gestori di password? È noto che aumentano significativamente la sicurezza poiché ora l'utente deve ricordare solo una passphrase ed è meno probabile che utilizzi una password facile da indovinare per il tuo sistema.

Questo è un problema sociale, che può essere risolto solo istruendo i tuoi utenti / dipendenti sui pericoli di lasciare le password scritte in chiaro in giro.

I commenti non sono per discussioni estese;questa conversazione è stata [spostata in chat] (https://chat.stackexchange.com/rooms/95781/discussion-on-answer-by-rahuldottech-how-do-i-check-that-users-dont-write-giù).
#3
+21
Peter
2019-07-03 21:51:04 UTC
view on stackexchange narkive permalink

Installa una videocamera dietro la loro scrivania, meglio ancora più videocamere per coprire tutti gli angoli e chiedi a qualcuno di guardarle.

Potresti essere infastidito dal fatto che questo non sia etico ma non preoccuparti, non è in alcun modo peggio di quasi qualsiasi altro modo per ottenere ciò che vuoi fare.


A proposito di questo quasi:

Usa "password" che non possono essere ragionevolmente rappresentate in chiaro da un utente. Scansioni di impronte digitali, chiavi magnetiche / dongle, autenticazione a 2 fattori, scansioni della retina, ... ognuna di esse raggiunge ciò che desideri.

I commenti non sono per discussioni estese;questa conversazione è stata [spostata in chat] (https://chat.stackexchange.com/rooms/95779/discussion-on-answer-by-peter-how-do-i-check-that-users-dont-write-down-their-p).
#4
+19
Mark
2019-07-04 01:06:16 UTC
view on stackexchange narkive permalink

Non lo fai.

Impedendo agli utenti di annotare le proprie password, impedisci loro di utilizzare il secondo miglior gestore di password esistente. Le persone sono generalmente abbastanza brave a proteggere il contenuto dei loro portafogli; un elenco di password complesse scritte su un pezzo di carta memorizzato tra la patente di guida e la carta di credito è quanto più sicuro ci si possa ragionevolmente aspettare.

Invece di creare regole "non fare questo", fornire i tuoi utenti con linee guida su come dovrebbero proteggere le loro password. Se hanno un elenco di "Password Manager X, Password Manager Y, foglietto di carta nel tuo portafoglio" da cui lavorare, è molto più probabile che memorizzino le loro password in modo sicuro rispetto a se provi a enumerare tutti i modi in cui non dovrebbero memorizzare le proprie password e imporle con mezzi punitivi.

Perché credi che le persone siano generalmente brave a evitare i tentativi di borseggio?
@Christian A meno che non abbiano annotato sia l'URL che il nome utente insieme alla password, è per lo più inutile.L'ovvia eccezione era se venivano presi di mira in modo specifico, ma in quel caso ci sono altri modi (forse più facili) per ottenere anche le password.
@Christian è importante esaminare il modello di minaccia.Quanti borseggiatori sono interessati alle password di una rete aziendale
@RichardTingle: Le persone interessate a violare una rete aziendale possono utilizzare tecniche come il borseggio.
@Christian, ecco perché guardi al modello di minaccia.Se sei una piccola impresa che vende generi alimentari freschi, è improbabile che lo consideri un problema legittimo.Se invece gestisci la sicurezza per il Pentagono ...
#5
+16
Tom
2019-07-04 11:43:07 UTC
view on stackexchange narkive permalink

Qual è il tuo modello di minaccia?

So di aver posto questa contro domanda a quasi tutto qui, ma la maggior parte delle domande sulla sicurezza non indica mai da cosa effettivamente cercano di proteggersi.

Le persone non autorizzate sono regolarmente nel tuo ambiente e potrebbero individuare le password che vengono scritte? In tal caso, la consapevolezza nei tuoi utenti può essere migliorata rispetto a questa minaccia specifica e facilmente comprensibile e avrà (alcuni, limitati) effetti.

Se il tuo modello di minaccia è interno, la consapevolezza tende ad essere molto, molto meno efficace. Vietare ufficialmente la scrittura delle password, con la minaccia di sanzioni, può ottenere una percentuale minima di conformità, ma raramente è efficace fino a un livello che conta.

Fornire alle persone modi sanzionati per archiviare le password in modo sicuro, come un gestore di password preinstallato, ti darà anche un po 'di conformità ed è probabilmente il modo più intuitivo per risolvere il problema.

Il modo migliore è eliminare le password. Se hai SSO, in realtà è relativamente facile da fare. Tutto ciò di cui hai bisogno è un'autenticazione senza password per l'SSO e vai da lì. Dal token hardware alle app per smartphone fino all'utilizzo dello smartphone stesso come token ci sono già molte soluzioni sul mercato. Sceglierne uno. Perché l'unica password che ai tuoi utenti è garantito di non scrivere mai è quella che non hanno nemmeno.

#6
+13
a CVn
2019-07-04 13:05:37 UTC
view on stackexchange narkive permalink

Prima di tutto, sono d'accordo con le risposte che dicono che questa è una cattiva idea per una serie di motivi.

In secondo luogo, sembra che tu stia cercando di utilizzare la tecnologia per risolvere un problema umano problema. È molto, molto raro che finisca bene.

Invece di concentrarsi su misure tecniche per evitare di scrivere password, come fotocamere, campi password non incollabili e così via , dovresti concentrarti sul problema (percepito o reale) che gli utenti vedono e che induce loro a voler annotare le password (o utilizzare quelle non sicure, o qualunque sia il problema) in primo luogo.

Un modo per farlo potrebbe essere inviare un avviso a tutti i dipendenti del tipo "se stai scrivendo, condividendo o riutilizzando le tue password relative al lavoro in qualsiasi modo, ci piacerebbe sapere come e perché" e offrono un modo completamente anonimo di rispondere . (Quest'ultimo aspetto è importante, poiché le persone di solito sono più oneste sulle scelte imperfette relative alla sicurezza quando non devono preoccuparsi di mettersi nei guai per essere oneste.) Ad esempio, potresti impostare una scatola fisica dove le persone possono lasciare i pezzi di carta con la loro risposta, e in cui è chiaramente non banale entrare in un modo che non è visibile. (Non è necessario che sia resistente alle manomissioni, basta che sia evidente .) Quindi guarda le risposte che ottieni.

Se una grande porzione di le risposte dicono qualcosa come "è così difficile ricordare una nuova password complessa ogni mese", quindi aggiustare quella . Le recenti linee guida del NIST non sono affatto male, in realtà; richiedere una password lunga, incoraggiare l'uso di passphrase, ma non impostare altri requisiti di complessità o rinnovo, è molto utile.

Se gran parte delle risposte dice qualcosa come "Uso password brevi perché è così scomodo per sbloccare il computer dopo che si è bloccato automaticamente dopo due minuti mentre sto leggendo una pagina web ", quindi aggiustalo.

Se gran parte delle risposte dice qualcosa come "Non riesco a pensare a password valide", offri una guida su come selezionare password valide. Diceware (a volte indicato come "xkcd password" dopo xkcd 936) è un buon inizio. Ciò richiede che il sistema supporti password lunghe, cosa che farà qualsiasi sistema moderno costruito in modo corretto.

E così via.

Le persone che annotano le password in modo insicuro sono esseri umani, e loro quasi certamente lo fanno per ragioni umane, non tecnologiche. I problemi umani dovrebbero essere risolti con mezzi umani, non tecnologici.

#7
+1
nigel222
2019-07-04 21:30:16 UTC
view on stackexchange narkive permalink

Come tutti hanno detto, non lo fai.

Dovresti considerare se le password (autenticazione a fattore singolo) sono adeguate alle tue esigenze. Anche se tutti i tuoi utenti rispettano le linee guida sulle password, ci sono altri rischi come i surfisti e i key-logger. Una soluzione molto migliore è l'autenticazione a due fattori. Ci sono vari dongle che puoi acquistare, oppure c'è l'autenticatore di Google gratuito e aperto che può essere installato su qualsiasi smartphone. L'utente può avere una password abbastanza semplice e facile da ricordare e non ha mai bisogno di cambiarla, perché c'è anche un numero di sei cifre che cambia ogni trenta secondi, senza il quale la sua password è inutile.

Dovrebbe forse aggiungere, un surfista spalla non deve nemmeno essere nell'edificio. Quando ero studente, qualcuno ha comprato un telescopio e ha mostrato a tutti quello che si poteva vedere attraverso le finestre di un hotel a torre a un chilometro di distanza. Nessuno si è preoccupato di tirare le tende al 14 ° piano! Oggi probabilmente lo farebbero in un hotel di notte, ma in un ufficio di giorno?

#8
+1
Martin
2019-07-05 03:39:16 UTC
view on stackexchange narkive permalink

Mi rendo conto di essere in ritardo per la festa, ma ....

Come posso assicurarmi che non lo abbiano fatto scrivendo la loro password in e-mail, script, documenti o file

Non puoi. Non praticamente.

Le password sono un meccanismo di autorizzazione a livello singolo. Se ti interessa che le password vengano "scritte" o registrate, devi:

  • Quantificare il fattore di rischio e mitigare questi tipi di rischio. Qual è il rischio se qualcun altro legge la password? Se è un collega dipendente, un membro del pubblico? Aggiungi livelli di sicurezza per mitigare questi rischi (come la richiesta di ulteriori informazioni all'accesso)

  • Se stai facendo cose come il monitoraggio dei keylog della tua base utenti, il monitoraggio dei movimenti fisici della tua base utenti, il monitoraggio di qualsiasi cosa la tua base di utenti in tempo reale per assicurarti che non stiano scrivendo in chiaro le loro password, allora devi davvero, davvero migliorare il tuo gioco e invece di spendere migliaia cercando di truccare la tua vecchia Ford Cortina, investi in una Nissan Skyline e fornisci la tua base utente con autenticazione token hardware e credenziali 2FA.

  • Incoraggia un comportamento migliore degli utenti. Le password memorizzate sono facili da ricordare e per questa natura saranno deboli - Quindi puoi scegliere tra una password complessa che più persone lo faranno annotare, per riferimento, o una semplice password che è esponenzialmente più facile per una macchina di forza bruta o altrimenti compromessa. Quindi fai molta pressione e incoraggia la tua base utenti a utilizzare un Gestore di password . In modo che possano usare password complesse senza bisogno di ricordarle O scriverle.


Ripeto; se ti interessa così tanto che i tuoi utenti non scrivano le loro password, devi fornire loro alternative valide e affidabili, come spiegato in dettaglio nelle varie risposte qui .

Vorrei contestare che "le password memorizzate sono facili da ricordare e per questa natura saranno deboli".Sebbene Password Manager SIA probabilmente la soluzione migliore, le password memorizzate di lunghezza sufficiente possono ancora essere molto difficili da indovinare.Un buon esempio di ciò sono le passphrase di XKCD, che sono una buona idea purché le tue parole siano casuali: https://www.xkcd.com/936/
@JaccovanDorp Ho avuto una lunga esperienza con i clienti;mentre * noi * potremmo ricordare password più varie;la mia esperienza in natura è che, in generale, le persone ** non ** creano password comlpex se sanno di doverle ricordare.Ho avuto a che fare con centinaia di clienti e ho richiesto le loro password di posta elettronica e nessuno, mai, ha fornito una password anche lontanamente complessa (o logica) come faceva riferimento il fumetto.È un ideale che semplicemente non è stato ancora raggiunto.
#9
  0
Douglas Held
2019-07-04 01:45:44 UTC
view on stackexchange narkive permalink

Il modo tipico per applicare questo è con una politica Clean Desk. Ma mi piace la tua domanda; Penso che la soluzione possa essere portata a un estremo ridicolo :)

È comune imporre gruppi di caratteri, come lettere minuscole, maiuscole, ecc.

Se si potesse impostare una lunghezza minima ragionevole , imposta una soglia di blocco molto bassa, quindi impone l'inclusione di un gruppo di caratteri "cerchi" [o, O, 0] e impone l'uso di un gruppo di caratteri "linee" [I, l, 1, | ] allora potresti teoricamente fare in modo che una password scritta abbia un valore di utilità molto basso.

Se i tuoi utenti sono bilingue, hai ancora più opzioni; per esempio. [c C с С] ecc.

OK, quanto sopra è uno scherzo al limite e dovrebbe illustrare quanto sia futile "controllare che gli utenti non [facciano qualcosa]". MA: non ci sono una carota e un bastone?

Se leggi NIST 800-63 troverai nuovi consigli per consentire agli utenti di scegliere liberamente le proprie password e non forzarli a ruotare a meno che non ci sia motivo di credere che la password sia compromessa. Vale a dire:

I verificatori NON DOVREBBERO imporre altre regole di composizione (ad esempio, richiedere miscele di diversi tipi di caratteri o proibire caratteri ripetuti consecutivamente) per i segreti memorizzati. I verificatori NON DOVREBBERO richiedere che i segreti memorizzati vengano modificati arbitrariamente (ad es. periodicamente) . Tuttavia, i verificatori DEVONO forzare una modifica se ci sono prove di compromissione dell'autenticatore.

Se le password non sono difficili da ricordare per gli utenti, allora non sarebbe molto utile prevenirlo vengono annotati?

Questo è un pessimo consiglio.Forzare l'inclusione di caratteri specifici riduce l'entropia disponibile da una data lunghezza di password.Nel frattempo non aiuta: gli umani hanno scritto caratteri varianti per distinguere caratteri visivamente simili per tutto il tempo necessario.Questo li costringe ad aggiungere alcuni punti o tratti extra a zeri ed el.
Se la tua risposta fosse * solo * per menzionare una chiara politica della scrivania, la voterei a favore.Ma non posso votare a favore del resto.
#10
  0
steros
2019-07-04 16:44:06 UTC
view on stackexchange narkive permalink

Trasforma le tue password in password non testuali. Come se potessero scegliere da un insieme casuale di immagini. Qualunque cosa non sia facile da scrivere. Ecco cosa contiene Wikipedia oggi:

"Password non basate su testo, come password grafiche o password basate sul movimento del mouse. [70] Grafica le password sono un mezzo alternativo di autenticazione per il log-in destinato ad essere utilizzato al posto della password convenzionale; utilizzano immagini, grafici o colori invece di lettere, cifre o caratteri speciali. Un sistema richiede agli utenti di selezionare una serie di volti come password , utilizzando la capacità del cervello umano di richiamare facilmente i volti. [71] In alcune implementazioni l'utente è tenuto a scegliere da una serie di immagini nella sequenza corretta per ottenere l'accesso. [72] Un'altra soluzione grafica per la password crea una password una tantum password utilizzando una griglia di immagini generata casualmente. Ogni volta che all'utente viene richiesto di autenticarsi, cerca le immagini che rientrano nelle categorie prescelte e inserisce il carattere alfanumerico generato casualmente che appare nell'immagine per formare password. [73] [74] Finora, le password grafiche sono promettenti, ma non sono ampiamente utilizzate. Sono stati effettuati studi su questo argomento per determinarne l'usabilità nel mondo reale. Mentre alcuni credono che le password grafiche sarebbero più difficili da decifrare, altri suggeriscono che le persone avranno la stessa probabilità di scegliere immagini o sequenze comuni quanto lo sono per scegliere password comuni. "

Collaboratori di Wikipedia." Password ". Wikipedia, The Free Encyclopedia. Wikipedia, The Free Encyclopedia, 25 giugno 2019. Web. 5 luglio 2019.

Ad esempio, se si utilizza il metodo dei volti, è possibile utilizzare immagini stock casuali di persone. Quindi non possono semplicemente scrivere Steve delle vendite . Se le immagini sono molto simili e mostrano solo un semplice ritratto. Non possono nemmeno scrivere qualcosa come la donna con sciarpa rossa o il ragazzo con il big ben sullo sfondo .

#11
-1
usr-local-ΕΨΗΕΛΩΝ
2019-07-04 19:48:49 UTC
view on stackexchange narkive permalink

Utilizza certificati o autenticazione basata su dispositivo. Sì, questo non risponde direttamente alla tua domanda, ma fornisce un approccio diverso al problema.

Come sottolineato da altri, non puoi imporre nulla che impedisca un utente di annotare la propria password. Quindi ... il mio consiglio è di lanciare password.

Un sistema di autenticazione basato su certificato non richiede password (piuttosto, la chiave privata potrebbe essere protetta da password) e forse non consente nemmeno di eseguire il backup le chiavi private.

Prendi la mia risposta come ispirazione. Hai poca scelta. Come uno ha commentato qui, puoi ancora tagliare le dita ai tuoi dipendenti, ma dubito che saranno in grado di inserire la password che ora ricordano.

Se la chiave privata è protetta da password, l'utente deve comunque ricordare o memorizzare una password, quindi tutto ciò che hai fatto è aggiungere complessità e spostare la richiesta della password.
@IMSoP Riutilizzare una chiave non è meno rischioso che riutilizzare le password, però?
@gerrit Ma cosa impedisce alle persone di riutilizzare una password sia per la propria chiave privata che, ad esempio, per il proprio account GMail personale?Gli utenti non penseranno alla differenza, verrà semplicemente chiesto di impostare o memorizzare una password.
#12
-11
Phil M
2019-07-04 00:06:12 UTC
view on stackexchange narkive permalink

Ho già ricevuto una risposta, ma lasciatemi dare un'altra idea.

Invece di cercare di imporre qualcosa di inapplicabile (anche tentare sarebbe una tale violazione della privacy) ...

Perché non fermarlo alla fonte e richiedere all'utente di digitare (non copiare) la password nel campo. Sì, può essere disabilitato scherzando con l'HTML / JS, ma ciò richiede conoscenza e, anche se hanno quella conoscenza, spesso è più difficile che valga la pena digitare la password.

Anche le password di compilazione automatica sono molto convenienti, ma di solito rappresentano un rischio per la sicurezza a meno che tu non abbia l'abitudine di bloccare lo schermo ogni volta che ti allontani.

Impedire di incollare le password nei campi riduce la sicurezza, poiché rende meno efficace l'uso di alcuni gestori di password, portando gli utenti a scegliere password facili da ricordare (cioè, brevi e riutilizzate).Questo è attualmente considerato un anti-pattern, che va direttamente contro le attuali migliori pratiche che specificatamente dicono di consentire di incollare le password.(https://pages.nist.gov/800-63-3/sp800-63b.html#sec5 circa 3/4 del percorso in quella sezione.)
Questo consiglio ha un'utilità negativa.
È buona norma richiedere alle persone di bloccare lo schermo ogni volta che si allontanano dalla scrivania.
Sono d'accordo con @Ghedipunk, ma c'è di più: non raggiunge nemmeno il suo obiettivo!La tua idea è quella di rendere impossibile copiare le password, in modo che le persone non le annotino.Ma lo faranno!Scriverlo in un file non è solo fatto per avere un modo molto comodo per inserirlo (cosa che la tua idea impedisce), è anche un modo per assicurarti che lo ricordino!Quindi ha ancora senso.Le persone salveranno anche il file .txt non crittografato in Dropbox, in modo che possano anche usarlo da casa nel caso ne avessero bisogno.O in Google Keep.Oppure lo invieranno via email a se stessi (magari a un indirizzo privato).La tua idea non lo impedisce!


Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 4.0 con cui è distribuito.
Loading...