Un nuovo utente è registrato. Nel suo pacchetto di registrazione, insieme al suo nuovo nome utente, indirizzo e-mail e così via c'è la sua password iniziale.
Qui è necessario prendere in considerazione diverse cose.
In primo luogo, come vengono trasferiti il nome utente e la password all'utente? Viene trasmesso su supporto cartaceo o va a un intermediario (es .: supervisore o assistente amministrativo) tramite mezzi elettronici? Nel primo caso, dovrebbe essere conservato in una confezione sigillata, opaca, a prova di manomissione, dall'amministratore di sistema all'utente. In quest'ultimo caso, l'amministratore di sistema dovrebbe inoltrare le informazioni tramite e-mail crittografate all'intermediario che quindi utilizza un pacchetto sicuro (come descritto in precedenza) per trasferirle all'utente. Tuttavia, è preferibile che non vi siano terze parti coinvolte in questa transazione - idealmente, solo l'amministratore di sistema e l'utente dovrebbero essere a conoscenza o accedere alla password per la prima volta. Più preferibile sarebbe che solo l'utente lo abbia, ma ciò non è possibile in alcuni scenari, come per gli account di dominio o di posta elettronica.
In secondo luogo, le password per la prima volta dovrebbero essere sempre uniche e non determinabili da qualsiasi informazione univoca per l'utente. Il modo migliore per garantire ciò è utilizzare uno strumento di generazione di password casuali e non riutilizzare le password generate tra gli utenti. Idealmente, il nome utente non dovrebbe avere alcuna relazione con alcuna informazione di identificazione personale.
In terzo luogo, il meccanismo per garantire che le password per la prima volta vengano modificate dipende molto dall'ambiente in cui viene creato l'account. Molti sistemi hanno un'opzione che può essere impostata sugli account per forzare l'utente a cambiare la password al successivo accesso. Se disponibile, è il mezzo più efficace e dovrebbe essere utilizzato. Per i sistemi privi di tale funzionalità, si è molto dipendenti dall'utente per conformarsi alla politica aziendale. Ciò può essere aiutato includendo un avviso chiaro e ben visibile sulla modifica della password nel pacchetto di registrazione. Inoltre, l'utilizzo di una password per la prima volta molto lunga e complessa (circa 20+ caratteri casuali utilizzando tutti i tipi di caratteri disponibili) renderà naturalmente l'utente più propenso a cambiarla.
Infine, se stai prendendo misure appropriate come specificato sopra, il controllo delle modifiche della password potrebbe essere difficile. Se stai utilizzando uno strumento di cracking delle password come Ophcrack o LophtCrack per verificarlo, dovrai aggiungere la password per la prima volta di ogni individuo alla tabella arcobaleno man mano che vengono creati. Alcuni sistemi includono la capacità di controllare l'età della password dell'utente e l'ora dell'ultimo accesso: questi possono essere confrontati con la data di creazione dell'account e la data di inizio dell'utente per vedere se l'utente l'ha modificata al primo accesso. A parte questi metodi, l'elevata sicurezza delle tecniche descritte sopra rende la verifica delle modifiche della password per la prima volta difficile quasi quanto lo sfruttamento della password stessa.
Viene distribuito un nuovo componente hardware. Nello stato di fabbrica ha una password amministratore predefinita in modo da poter accedere e configurare l'hardware.
Ci sono alcune misure da prendere qui, che possono rendere più la password per la prima volta proteggere e contribuire a facilitare e verificare il loro cambiamento.
Il primo elemento è l'acquisizione dei materiali. Prova ad acquistare solo hardware che:
-
Non dispone di una password per la prima volta e non funzionerà finché l'amministratore di sistema non ha configurato una password.
-
Se ha una password per la prima volta, ne utilizza uno generato in modo univoco per ciascun dispositivo e non riutilizzato tra le unità.
Dopo questo, l'unico modo per assicurarsi che vengano modificati è spesso attraverso un controllo pratico del sistema, controllando per vedere se le credenziali per la prima volta sono ancora valide.