Por que as expirações de senha obrigatórias não fazem mais sentido

Vitalii Vodolazskyi / Shutterstock. com

Alterações obrigatórias de senha em um período de tempo regular são um fato da vida em muitas organizações. Essa prática milenar é defendida pelos proponentes como uma boa medida de segurança de linha de base para mitigar os riscos de perda de senha. Mas ainda é relevante décadas depois de ter aparecido pela primeira vez?

O que a expiração de senha resolve?

Primeiro, é importante entender por que as expirações de senha obrigatórias se tornaram populares. A maioria das organizações exige uma mudança de senha a cada 30 ou 90 dias. Isso data do contexto histórico de hashes de senha mais simples que podem ser quebrados de forma relativamente rápida. Na época em que um invasor conseguia quebrar uma senha em alguns meses, os profissionais de segurança sugeriram que mudanças dentro desse período ajudariam a manter os usuários seguros.

RELACIONADO O problema com as senhas são as pessoas

O modelo de ameaça de hoje parece um pouco diferente. As senhas criptografadas com mecanismos de hash modernos podem levar bilhões de anos para serem quebradas com sucesso.

Hoje em dia, os criminosos coletam senhas de maneiras que enfocam você, o usuário, em vez do serviço que as armazena. Ataques de phishing e engenharia social são os maiores riscos, assim como ataques coordenados de dicionário usando listas de senhas conhecidas. Essas listas são provenientes de violações de dados anteriores.

As mudanças no cenário de ameaças significam que as expirações de senha não resolvem mais o problema para o qual se destinavam. Compromissos acontecem em segundos. No momento em que você alterar sua senha, os invasores provavelmente já terão ido embora.

Os problemas com expiração de senha

As alterações forçadas de senha são uma frustração comum entre os usuários. Eles podem ficar inclinados a escolher uma sucessão de senhas curtas que são facilmente memorizadas. Alguns usuários anotarão cada senha, potencialmente expondo-a ao comprometimento – seja em um arquivo de texto ou como um post-it de desktop.

Publicidade

Uma pesquisa na University of North Carolina descobriu que um invasor com acesso a senhas anteriores pode determinar a senha atual do usuário em menos de 3 segundos em 41% dos casos. Isso fornece fortes evidências de que muitos usuários fazem apenas alterações triviais em suas senhas no intervalo obrigatório.

As expirações de senha têm como objetivo limitar o tempo de acesso de um invasor a um sistema comprometido. No cenário alterado de hoje, um intruso pode já ter acesso persistente no momento em que rouba a lista de senhas. A instalação de um key logger ou outro malware semelhante evita imediatamente todos os benefícios da expiração de senha.

Finalmente, os pen-testers do mundo real declararam que não estão sobrecarregados por uma política de expiração de senha. As políticas costumam se defender contra ameaças que não podem conter. Atualmente, as mudanças regulares de senha devem ser vistas como um esforço para incentivar os usuários a manter a segurança. Na prática, também é pouco adequado para isso, pois apresenta uma inconveniência que os usuários tentarão evitar.

RELACIONADO: Como proteger sua organização contra ataques de dicionário de senhas

A maré está voltando contra a mudança de senha

Esses fatores combinados levaram várias organizações importantes a se opor às políticas de alteração de senha nos últimos anos. Do Centro Nacional de Segurança Cibernética (NCSC) do Reino Unido à linha de base de segurança oficial do Windows da Microsoft, a prática outrora onipresente rapidamente caiu em desuso.

Em uma postagem do blog em 2016, o NCSC explicou que os vencimentos apresentam um “ custo de usabilidade ” para usuários que superam os já questionáveis ​​benefícios de segurança:

É um daqueles cenários de segurança contra-intuitivos; quanto mais os usuários são forçados a alterar as senhas, maior a vulnerabilidade geral a ataques. O que parecia ser um conselho perfeitamente sensato e estabelecido há muito tempo não resiste a uma análise rigorosa de todo o sistema.

Publicidade

O impacto da fadiga da senha tende a enfraquecer a postura geral de segurança de uma organização, pois os usuários escolherão senhas menos seguras e baixarão a guarda contra ameaças contínuas. Os invasores não serão perturbados por uma política de expiração de senha – as informações são roubadas em um instante, geralmente muito antes que uma alteração programada de senha pudesse atenuar o impacto.

O que usar em vez disso?

Os administradores de sistema ainda têm várias ferramentas para proteger suas organizações. Das opções disponíveis, a educação pode ser uma das abordagens de longo prazo mais fortes. Explique aos usuários os riscos de senhas de baixa segurança para incentivá-los a fazer escolhas mais seguras.

RELACIONADO Por que você deve usar um gerenciador de senhas e como começar

Você também deve adotar uma abordagem de autenticação multifatorial. Adicionar um aplicativo de autenticação à equação evita que invasores usem senhas, mesmo que as roubem com sucesso. Isso não era possível quando as políticas de expiração de senha começaram a ser adotadas.

Se você ainda insiste em mudanças regulares de senha, ou se seu setor possui uma legislação que exige isso, encontre maneiras de ajudar seus usuários. Fornecer um software de gerenciamento de senhas aprovado permitirá que os usuários gerem e armazenem senhas seguras, sem recorrer a frases simples rabiscadas em papel.

Eliminar as expirações de senha não significa abandonar todos os mecanismos de controle de senha. Você ainda pode impor um comprimento mínimo e complexidade para orientar os usuários em relação a escolhas fortes. Além disso, você deve manter a capacidade de invalidar senhas para que possa bloquear rapidamente seus sistemas em caso de violação.

RELACIONADO: Não deixe senhas em seu código; Em vez disso, use o Secrets Manager da AWS

Conclusão: hora de interromper a expiração de senhas

As expirações de senha costumavam ser razoavelmente eficazes em impedir os ataques cibernéticos da web de ontem. Agora, eles representam mais problemas do que valem. Continuar a impor alterações regulares de senha frustrará os usuários, causará mais consultas ao suporte técnico de TI e fornecerá resultados insignificantes – ou negativo – efeitos em sua postura de segurança.

Publicidade

As políticas de expiração foram úteis quando a web era um lugar menor e mais lento. A Internet e suas ameaças evoluíram imensamente nas últimas duas décadas. Agora é mais comum que os usuários digam a um invasor sua senha, em um e-mail de phishing ou em uma chamada fraudulenta, do que uma senha realmente “ roubada ” por um intruso.

Para sistemas onde o acesso persistente é um risco, adquirir uma senha de usuário privilegiado uma vez geralmente dá ao invasor a capacidade de instalar um backdoor ou configurar sua própria conta de usuário. Com tantos fatores relacionados à expiração de senha como uma atenuação da segurança, agora é mais importante focar na higiene básica de senhas e no panorama geral das defesas cibernéticas.

A suspensão da política de expiração de senha deve agradar aos usuários e contribuir para a sua segurança. Avalie os benefícios de segurança de suas práticas de senha em relação ao custo de usabilidade de fazer os usuários reaprender suas credenciais a cada poucos meses. Muitas regulamentações de conformidade, como PCI-DSS e HIPAA, ainda exigem alterações regulares de senha, mas em setores não regulamentados, você deve pensar duas vezes antes de usar as expirações obrigatórias.