Başkalarının dediği gibi, onları durduramazsınız.Ancak teşviği kaldırabilirsiniz .

Şifre politikanız aşağıdakilerden herhangi birini gerektiriyor mu?

• Düzenli aralıklarla değiştirme
• Manuel giriş (şifre yöneticileri engellendi)
• Karmaşık biçim (farklı durumlar, özel karakterler, vb.)

Öyleyse, insanları aktif olarakşifre aşağı.Eski şifre politikasını kaldırırsanız, kullanıcılarınızın buna uyma olasılığı çok daha yüksek olacaktır.

Yeni NIST yönergelerine dayalı öneriler. Burada güzel bir özet var.

Bir kullanıcının şifresini bir yere yazmadığından emin olmanız mümkün değildir.Bilgisayarlarına tam erişiminiz olsa bile, ya bunu telefonlarına not etmişlerse?Ya da kağıt üzerinde mi?

Ve tüm cihazlarına erişiminiz olsa bile, şifreyi yazmadıklarını ancak bir sistem yöneticisi olarakşifreyi kendiniz bilin. Bunu yapmamalısınız! Şifreler her zaman karma hale getirilmeli ve hiçbir zaman düz metin olarak veya orijinal şifreyi almanıza izin veren bir biçimde saklanmamalıdır.

Parola yöneticileri ne olacak?Kullanıcının artık yalnızca bir parola hatırlaması gerektiğinden ve sisteminiz için tahmin edilmesi kolay bir parola kullanma olasılığının düşük olduğundan, güvenliği önemli ölçüde artırdıkları biliniyor.

Buyalnızca kullanıcılarınızı / çalışanlarınızı şifreleri düz metin olarak yazmanın tehlikeleri konusunda eğiterek çözülebilecek sosyal bir sorundur.

Masalarının arkasına bir kamera kurun, daha iyisi de tüm açıları kapsayacak şekilde birden fazla kamera kurun ve birinin onları izlemesini sağlayın.

Bunun etik dışı olmasından rahatsız olabilirsiniz ama endişelenmeyin, hiçbir şekilde neredeyse yapmak istediğiniz şeyi başaran diğer yollardan daha kötüdür.

Bu konuda neredeyse :

KullanınKullanıcı tarafından düz metin olarak makul şekilde temsil edilemeyen "şifreler"Parmak izi taramaları, tuş kartları / donanım kilitleri, 2 faktörlü kimlik doğrulama, retina taramaları, ... bunlardan herhangi biri istediğinizi başarır.

Yapmıyorsunuz.

Kullanıcıların şifrelerini yazmalarını yasaklayarak, var olan en iyi ikinci şifre yöneticisini kullanmalarını yasaklamış oluyorsunuz.İnsanlar genellikle cüzdanlarının içeriğini korumada oldukça iyidir;ehliyet ve kredi kartları arasında saklanan bir kağıt parçasına yazılan karmaşık şifrelerin listesi, makul bir şekilde beklediğiniz kadar güvenlidir.

"Bunu yapma" kuralları oluşturmak yerine, sağlayınKullanıcılarınızın şifrelerini nasıl güvence altına almaları gerektiğine ilişkin yönergeler.Çalışabilecekleri "Password Manager X, Password Manager Y, cüzdanınızda kağıt parçası" listesi varsa, parolalarını güvenli bir şekilde saklamaları, tüm yöntemlerini numaralandırmaya çalışmanıza kıyasla çok daha olasıdır şifrelerini saklamamalı ve cezalandırıcı yollarla uygulamamalıdır.

Tehdit modeliniz nedir?

Bu karşı soruyu buradaki hemen hemen her şeye sorduğumu biliyorum, ancak güvenlikle ilgili çoğu soru, onların gerçekte neye karşı korumaya çalıştıklarını asla belirtmez.

Yetkisiz kişiler çevrenizde düzenli olarak bulunuyor mu ve yazılan parolaları tespit edebiliyor mu? Eğer öyleyse, kullanıcılarınızdaki farkındalık bu özel ve kolayca anlaşılan tehdide karşı iyileştirilebilir ve bunun (bir miktar, sınırlı) etkisi olacaktır.

Tehdit modeliniz içeriden öğrenenler ise, farkındalık çok çok fazla olma eğilimindedir. daha az etkili. Yaptırım tehdidiyle şifrelerin yazılmasını resmi olarak yasaklamak, birkaç uyumluluk yüzdesi kazanabilir, ancak önemli bir dereceye kadar nadiren etkilidir.

İnsanlara şifreleri güvenli bir şekilde saklamak için yaptırım uygulanmış yollar sunmak, örneğin önceden yüklenmiş bir şifre yöneticisi de size biraz uyum sağlayacaktır ve muhtemelen sorunu çözmenin en kullanıcı dostu yoludur.

En iyi yol şifreleri ortadan kaldırmaktır. SSO'nuz varsa, bu aslında nispeten kolaydır. İhtiyacınız olan tek şey SSO'ya şifresiz bir kimlik doğrulaması yapmak ve oradan gitmek. Donanım belirtecinden akıllı telefon uygulamalarına, hatta akıllı telefonun kendisini bir belirteç olarak kullanmaya kadar piyasada halihazırda birçok çözüm var. Birini seçin. Çünkü kullanıcılarınızın asla yazmamaları garanti edilen tek şifre, sahip olmadıkları şifredir.

Öncelikle, bunun çeşitli nedenlerle kötü bir fikir olduğunu söyleyen yanıtlara katılıyorum.

İkincisi, bir insanı çözmek için teknolojiyi kullanmaya çalışıyorsunuz. sorun. Bunun iyi bitmesi çok, çok nadirdir.

Kameralar, yapıştırılamayan şifre alanları vb. gibi şifrelerin yazılmasını önlemek için teknik önlemlere odaklanmak yerine İlk olarak, kullanıcıların parolaları yazmak istemelerine (veya güvenli olmayanları veya sorun ne olursa olsun) neden olduğunu gördükleri (algılanan veya gerçek) soruna odaklanmalısınız.

Bunu yapmanın bir yolu, tüm çalışanlara "işle ilgili şifrelerinizi herhangi bir şekilde yazıyor, paylaşıyor veya yeniden kullanıyorsanız, nasıl ve neden olduğunu bilmek isteriz" şeklinde bir bildirim göndermek olabilir. > ve tamamen anonim bir yanıtlama yöntemi sunar . (Bu sonuncusu önemlidir, çünkü insanlar dürüst oldukları için başlarını belaya sokma konusunda endişelenmeleri gerekmediğinde, genellikle kusurlu güvenlikle ilgili seçimler konusunda daha dürüst olurlar.) Örneğin, insanların parçaları bırakabilecekleri fiziksel bir kutu kurabilirsiniz. cevaplarıyla birlikte bir kağıt parçası ve bu açıkça görünmeyen bir şekilde girmek için önemsiz değil. (Kurcalamaya dirençli olması gerekmez, sadece belirgin kurcalama yapın.) Ardından, aldığınız yanıtlara bakın.

Büyük bir kısmı yanıtlar "her ay yeni bir karmaşık şifreyi hatırlamak çok zor" gibi bir şey söyler ve ardından bunu düzeltir. Son NIST yönergeleri aslında yarı kötü değil; uzun bir parola gerektirmek, parola kullanmayı teşvik etmek, ancak diğer karmaşıklık veya yenileme gereksinimlerini belirlememek uzun bir yol kat ediyor.

Yanıtların büyük bir kısmı "Kısa şifreler kullanıyorum çünkü öyle Bir web sayfasını okurken iki dakika sonra otomatik olarak kilitlendikten sonra bilgisayarın kilidini açmam uygun değil ", sonra düzeltin.

Yanıtların büyük bir kısmı "Aklıma iyi şifreler gelmiyor" gibi bir şey söylüyorsa, o zaman iyi şifrelerin nasıl seçileceğine dair rehberlik sunun. Diceware (bazen xkcd 936 'dan sonra "xkcd şifreleri" olarak anılır) iyi bir başlangıçtır.Bu, sistemin, mantıklı bir şekilde oluşturulmuş herhangi bir modern sistemin destekleyeceği uzun şifreleri desteklemesini gerektirir.

Vb.

Şifreleri güvensiz bir şekilde yazan insanlar insanlardır ve onlarneredeyse kesinlikle bunu teknolojik nedenlerle değil, insan nedenleriyle yapıyor.İnsan sorunları teknolojik olanlarla değil, insan yoluyla çözülmelidir.

Herkesin söylediği gibi, yapmıyorsunuz.

Şifrelerin (tek faktörlü kimlik doğrulama) ihtiyaçlarınız için yeterli olup olmadığını düşünmelisiniz. Tüm kullanıcılarınız parola yönergelerine uysa bile, omuz sörfçüleri ve tuş kaydediciler gibi başka riskler de vardır. Çok daha iyi bir çözüm, iki faktörlü kimlik doğrulamadır. Satın alabileceğiniz çeşitli dongle'lar veya herhangi bir akıllı telefona yüklenebilen ücretsiz ve açık Google kimlik doğrulayıcısı var. Kullanıcı oldukça basit ve hatırlaması kolay bir parolaya sahip olabilir ve hiçbir zaman değiştirmesi gerekmeyebilir, çünkü her otuz saniyede bir değişen altı basamaklı bir sayı vardır ve bu sayı olmadan parolası işe yaramaz.

Belki de olmalı Ek olarak, bir omuz sörfçüsünün binada olması gerekmiyor. Öğrenci günlerimde, birisi bir teleskop aldı ve herkese bir kilometreden daha uzak olan kule bloklu bir otelin pencerelerinden görülebilenleri gösterdi. Kimse 14. kattaki perdeleri çekmeye zahmet etmedi! Bugün, muhtemelen geceleri bir otelde olurlar, ama gündüzleri bir ofiste olurlar?

Partiye geç kaldığımı biliyorum ama ....

Parolalarını e-postalara, komut dosyalarına, belgelere veya dosyalara yazarak bunu yapmadıklarından nasıl emin olabilirim

Yapamazsınız. Pratik olarak değil.

Şifreler, tek katmanlı bir yetkilendirme mekanizmasıdır. Şifrelerin "yazılmasını" veya kaydedilmesini önemsiyorsanız, şunları yapmanız gerekir:

• Risk faktörünü ölçün ve bu risk türlerini azaltın. Parolayı başka biri okursa risk nedir? Çalışan bir arkadaşsa, halkın bir üyesi mi? Bu riskleri azaltmak için güvenlik katmanları ekleyin (oturum açma sırasında ek bilgi istemek gibi)

• Kullanıcı tabanı anahtar günlüklerinizi izleme, kullanıcı tabanı fiziksel hareketlerinizi izleme, ilgili her şeyi izleme gibi şeyler yapıyorsanız Kullanıcı tabanınızı gerçek zamanlı olarak şifrelerini düz bir şekilde yazmadıklarından emin olmak için kullanırsanız, gerçekten, gerçekten oyununuzu geliştirmeniz gerekir ve eski ford cortina'nızı beslemeye çalışan binlerce kişi harcamak yerine yatırım yapın Nissan Skyline'da bulunun ve kullanıcı tabanınıza donanım belirteci kimlik doğrulamasını ve 2FA kimlik bilgilerini verin .

• Daha iyi kullanıcı davranışını teşvik edin. Hatırlanan şifreler hatırlaması kolaydır ve bu doğası gereği zayıf olacaktır - Bu nedenle, daha fazla insanın kullanacağı karmaşık bir şifre arasında seçim yapabilirsiniz Bir makinenin kaba kuvvet kullanması veya başka bir şekilde ödün vermesi için katlanarak daha kolay olan basit bir şifreyi referans olarak veya basit bir şifreyi yazın. Bu nedenle, kullanıcı tabanınızı Parola Yöneticisi kullanmaya yoğun şekilde teşvik edin ve teşvik edin. Karmaşık şifreleri hatırlamalarına gerek kalmadan kullanabilmeleri için VEYA bunları not edin.

Tekrar ediyorum; Kullanıcılarınızın şifrelerini yazmamalarını bu kadar önemsiyorsanız, onlara olmalı , burada çeşitli cevaplarda ayrıntılı olarak açıklandığı üzere geçerli ve güvenilir alternatifler sağlamalısınız .

Bunu uygulamanın tipik yolu Temiz Masa Politikasıdır. Ama sorunuzu beğendim; Bence çözüm saçma bir uç noktaya getirilebilir :)

Küçük harf, büyük harf vb. Karakter gruplarını uygulamak yaygındır.

Makul bir minimum uzunluk belirleyebilirseniz , çok düşük bir kilitleme eşiği ayarlayın ve ardından bir karakter grubu "daireler" [o, O, 0] dahil edilmesini ve bir karakter grubu "satır" [I, l, 1, | ] o zaman teorik olarak, yazılı bir şifrenin çok düşük bir fayda değerine sahip olmasını sağlayabilirsiniz.

Kullanıcılarınız iki dilli ise, daha da fazla seçeneğiniz vardır; Örneğin. [c C с С] vb.

Tamam, yukarıdaki bir sınır şakası ve "kullanıcıların [bir şey yapıp yapmadığını] kontrol etmenin" ne kadar boşuna olduğunu göstermeli. AMA: bir havuç ve bir sopa yok mu?

NIST 800-63 'ü okursanız, kullanıcıların kendi şifrelerini özgürce seçmelerine izin verecek yeni tavsiyeler bulacaksınız. şifrenin tehlikeye atıldığına inanmak için bir neden yoksa onları dönmeye zorlayın. Açıklamak gerekirse:

Doğrulayıcılar, ezberlenmiş sırlar için başka kompozisyon kuralları (örneğin, farklı karakter türlerinin karışımlarını gerektiren veya art arda tekrarlanan karakterleri yasaklama) UYGULAMAMALIDIR. Doğrulayıcılar, ezberlenmiş sırların keyfi olarak (ör. periyodik olarak) değiştirilmesini GEREKTİRMEMELİDİR . Bununla birlikte, doğrulayıcılar, kimlik doğrulayıcının tehlikeye atıldığına dair bir kanıt varsa bir değişikliği zorunlu kılacaktır.

Şifreleri kullanıcıların hatırlaması zor değilse, o zaman bunu önlemek için uzun bir yol olmaz yazılıyor mu?

Şifrelerinizi metin içermeyen şifreler yapın. Rastgele bir dizi resim arasından seçim yapabilecekleri gibi. Yazması kolay olmayan her şeyi burada bulabilirsiniz. Bugün Wikipedia'da neler var:

"Grafik şifreler veya fare hareketine dayalı şifreler gibi metin tabanlı olmayan şifreler. [70] Grafik parolalar, geleneksel parola yerine kullanılması amaçlanan oturum açma için alternatif bir kimlik doğrulama aracıdır; harfler, rakamlar veya özel karakterler yerine görüntüler, grafikler veya renkler kullanırlar.Bir sistem, kullanıcıların bir parola olarak bir dizi yüz seçmesini gerektirir , insan beyninin yüzleri kolayca hatırlama yeteneğinden yararlanarak. [71] Bazı uygulamalarda, kullanıcının erişim elde etmek için bir dizi görüntüden doğru sırayla seçim yapması gerekir. [72] Başka bir grafiksel şifre çözümü, bir kerelik bir rastgele oluşturulmuş bir resim ızgarası kullanarak parola. Kullanıcının kimlik doğrulaması yapması gerektiğinde, önceden seçilmiş kategorilerine uyan resimleri arar ve bir defalık oluşturmak için resimde görünen rastgele oluşturulmuş alfanümerik karakteri girer. şifre [73] [74] Şimdiye kadar, grafik şifreler umut vericidir, ancak yaygın olarak kullanılmamaktadır. Gerçek dünyada kullanılabilirliğini belirlemek için bu konuda çalışmalar yapılmıştır. Bazıları grafiksel şifrelerin kırılmasının daha zor olacağına inanırken, diğerleri de insanların en az ortak şifreleri seçtikleri kadar ortak resimleri veya dizileri seçeceklerini öne sürüyor. "

Wikipedia katılımcıları." Şifre. " Wikipedia, The Free Encyclopedia. Wikipedia, The Free Encyclopedia, 25 Haziran 2019. Web. 5 Temmuz 2019.

Örneğin, yüzler yöntemini kullandıysanız, rastgele stok görüntüleri kullanabilirsiniz Bu yüzden satıştan Steve 'i yazamazlar. Resimler çok benzerse ve sadece düz bir portre gösteriyorsa. Ayrıca ile kadın gibi bir şey de yazamazlar. kırmızı fular veya arka planda büyük ben olan adam .

Sertifikalar veya cihaz tabanlı kimlik doğrulama kullanın.Evet, bu, sorunuzu doğrudan yanıtlamaz , ancak soruna farklı bir yaklaşım sağlar.

Başkalarının da belirttiği gibi, bir sorunu önleyecek hiçbir şeyi uygulayamazsınız.Kullanıcı şifresini bir yere yazabilir.Bu yüzden ... tavsiyem şifreleri atmak.

Sertifika tabanlı bir kimlik doğrulama sistemi şifre gerektirmez (bunun yerine, özel anahtar şifre korumalı olabilir) ve belki de yedeklemeye bile izin vermezözel anahtarlar.

Lütfen cevabımı bir ilham olarak alın.Çok az seçeneğiniz var.Burada yorumlandığı gibi, çalışanlarınızın parmaklarını yine de kesebilirsiniz, ancak artık hatırladıkları şifreyi girebilecekleri şüpheliyim.

Zaten yanıt aldım, ancak başka bir fikir vereyim.

Uygulanamaz bir şeyi zorlamaya çalışmak yerine (hatta bu tür bir mahremiyet istilasına teşebbüs etmek bile) ...

NedenBunu sadece kaynakta durdurup kullanıcının parolayı alana yazmasını (kopyalamasını değil) istemeniz gerekmez.Evet, HTML / JS ile uğraşarak devre dışı bırakılabilir, ancak bu bilgi gerektirir ve bu bilgiye sahip olsalar bile, genellikle şifreyi yazmaktan daha zahmetlidir.

Otomatik doldurma şifreleri de çok kullanışlıdır, ancak her uzaklaştığınızda ekranınızı kilitleme alışkanlığınız yoksa genellikle bir güvenlik riski oluşturur.