Molto dipende dal contesto - vedi il commento @nealmcb.

Se è per un sistema operativo, la maggior parte dei sistemi operativi oggigiorno offre un'impostazione per "modifica al primo utilizzo"

Se è per un'applicazione che controlli, non fornire agli utenti una password predefinita: genera per loro una password univoca che scade al primo utilizzo.

Se si tratta di un dispositivo spedito dal fornitore, più complicato, a meno che tu non riesca a convincere il venditore a farlo per te.

In sintesi: varie opzioni differenti, ma è necessario inserire la domanda nel contesto o potresti non ottenere risposte utili. Vedi la sezione "quale sfondo" nelle faq.

Un modo di cui ho letto è avere una password predefinita che dica che "admin'sname" è una specie di password. La maggior parte degli utenti lo cambia. Riesci a pensare ad altro?

Usa sistemi che non hanno una password predefinita.

Un nuovo utente è registrato. Nel suo pacchetto di registrazione, insieme al suo nuovo nome utente, indirizzo e-mail e così via c'è la sua password iniziale.

Qui è necessario prendere in considerazione diverse cose.

In primo luogo, come vengono trasferiti il ​​nome utente e la password all'utente? Viene trasmesso su supporto cartaceo o va a un intermediario (es .: supervisore o assistente amministrativo) tramite mezzi elettronici? Nel primo caso, dovrebbe essere conservato in una confezione sigillata, opaca, a prova di manomissione, dall'amministratore di sistema all'utente. In quest'ultimo caso, l'amministratore di sistema dovrebbe inoltrare le informazioni tramite e-mail crittografate all'intermediario che quindi utilizza un pacchetto sicuro (come descritto in precedenza) per trasferirle all'utente. Tuttavia, è preferibile che non vi siano terze parti coinvolte in questa transazione - idealmente, solo l'amministratore di sistema e l'utente dovrebbero essere a conoscenza o accedere alla password per la prima volta. Più preferibile sarebbe che solo l'utente lo abbia, ma ciò non è possibile in alcuni scenari, come per gli account di dominio o di posta elettronica.

In secondo luogo, le password per la prima volta dovrebbero essere sempre uniche e non determinabili da qualsiasi informazione univoca per l'utente. Il modo migliore per garantire ciò è utilizzare uno strumento di generazione di password casuali e non riutilizzare le password generate tra gli utenti. Idealmente, il nome utente non dovrebbe avere alcuna relazione con alcuna informazione di identificazione personale.

In terzo luogo, il meccanismo per garantire che le password per la prima volta vengano modificate dipende molto dall'ambiente in cui viene creato l'account. Molti sistemi hanno un'opzione che può essere impostata sugli account per forzare l'utente a cambiare la password al successivo accesso. Se disponibile, è il mezzo più efficace e dovrebbe essere utilizzato. Per i sistemi privi di tale funzionalità, si è molto dipendenti dall'utente per conformarsi alla politica aziendale. Ciò può essere aiutato includendo un avviso chiaro e ben visibile sulla modifica della password nel pacchetto di registrazione. Inoltre, l'utilizzo di una password per la prima volta molto lunga e complessa (circa 20+ caratteri casuali utilizzando tutti i tipi di caratteri disponibili) renderà naturalmente l'utente più propenso a cambiarla.

Infine, se stai prendendo misure appropriate come specificato sopra, il controllo delle modifiche della password potrebbe essere difficile. Se stai utilizzando uno strumento di cracking delle password come Ophcrack o LophtCrack per verificarlo, dovrai aggiungere la password per la prima volta di ogni individuo alla tabella arcobaleno man mano che vengono creati. Alcuni sistemi includono la capacità di controllare l'età della password dell'utente e l'ora dell'ultimo accesso: questi possono essere confrontati con la data di creazione dell'account e la data di inizio dell'utente per vedere se l'utente l'ha modificata al primo accesso. A parte questi metodi, l'elevata sicurezza delle tecniche descritte sopra rende la verifica delle modifiche della password per la prima volta difficile quasi quanto lo sfruttamento della password stessa.

Viene distribuito un nuovo componente hardware. Nello stato di fabbrica ha una password amministratore predefinita in modo da poter accedere e configurare l'hardware.

Ci sono alcune misure da prendere qui, che possono rendere più la password per la prima volta proteggere e contribuire a facilitare e verificare il loro cambiamento.

Il primo elemento è l'acquisizione dei materiali. Prova ad acquistare solo hardware che:

• Non dispone di una password per la prima volta e non funzionerà finché l'amministratore di sistema non ha configurato una password.

• Se ha una password per la prima volta, ne utilizza uno generato in modo univoco per ciascun dispositivo e non riutilizzato tra le unità.

Dopo questo, l'unico modo per assicurarsi che vengano modificati è spesso attraverso un controllo pratico del sistema, controllando per vedere se le credenziali per la prima volta sono ancora valide.

Verifica periodicamente le password e assicurati che siano nel dizionario.

Senza ulteriori informazioni / contesto, un modo potrebbe essere quello di impostare una passphrase lunga e complessa che sarebbe noiosa da digitare ripetutamente.

Se il sistema lo supporta, "modifica al primo utilizzo" sarebbe sicuramente essere preferito.

Le nostre password predefinite di sistema sono utilizzabili solo e le password delle nostre applicazioni sono predefinite speciali a seconda dell'applicazione. Sappiamo come appare la password predefinita in ogni applicazione, quindi è facile cercare le impostazioni predefinite e raggiungere le parti offensive.