Con quale frequenza cambi la tua password amministratore / root?

Ho una cattiva abitudine di cambiare raramente la password dell'amministratore nel mio dominio. Le password che uso sono piuttosto buone, ma voglio essere più coerente su questo.

Quale pensi sia una buona frequenza? Ogni 6 mesi forse?

Facciamo un rapido calcolo (e dimentichiamo le migliori pratiche per un momento):

Supponi un periodo di sei mesi affinché un utente malintenzionato possa hackerare il tuo sistema. Supponiamo anche che le password vengano scelte casualmente da un set di caratteri di dimensioni 62.

Scenario 1: si utilizza una password di 9 caratteri per i sei mesi interi.

Scenario 2: si utilizza una password di 9 caratteri per i primi tre mesi e una password di 9 caratteri diversa per i restanti tre mesi.

Scenario 3: si utilizza una password di 10 caratteri per i sei mesi interi.

Nello Scenario 1 , un aggressore a forza bruta hackera il tuo account con certezza al 100%, se riesce a fare 62 ^ 9 tentativi in ​​quel momento.

Nello Scenario 2 , se riesce a fare solo (62 ^ 9) / 2 tentativi in ​​metà tempo (tre mesi), hackererà l'account con certezza del 50%. Nel secondo tempo, avrà un'altra possibilità con certezza del 50%. Quindi statisticamente, hackererà l'account con certezza del 75%.

Nello Scenario 3 , avrà 62 ^ 9 tentativi per i sei mesi interi. Ma ci sono 62 ^ 10 possibilità. Quindi hackererà l'account solo con 1/62 di certezza, cioè circa l'1,6%.

Quindi, se lasciamo fuori tutti gli altri fattori (come le password rubate e altri tipi di attacchi), la raccomandazione sarebbe quella di scegliere password più lunghe piuttosto che usare password più brevi (o più semplici), anche se cambiate più spesso. Soprattutto perché nello Scenario 3 ci sono solo 10 personaggi da ricordare, mentre nello Scenario 2 ci sono 18 personaggi.

Siamo per lo più windows e ognuno degli amministratori ha il proprio account di amministratore di dominio e ci fidiamo solo di avere password complesse e di cambiarle di tanto in tanto. Sono sicuro che tutti hanno password complesse perché usiamo la pressione dei pari per assicurarci che siano lunghe e contengano numeri e / o caratteri, ma non le cambiamo abbastanza spesso. \

AGGIUNTO: Ormai, molte persone probabilmente hanno sentito questo, ma per ogni evenienza. L'esperto di crittografia e sicurezza Bruce Schneier afferma che dovresti avere password complesse e scriverle.

Anche se teoricamente sarebbe molto meglio cambiare le password frequentemente, il fattore "scrivere-che-giù-su-un-post-it" aumenta esponenzialmente man mano che il periodo di validità si accorcia.

Se questo è solo per uso privato, perché non utilizzare l'autenticazione con chiave pubblica e avere solo una buona PW per il tuo portachiavi?

Stai effettivamente parlando dell'account amministratore per il dominio (SID: S-1-5-21domain-500) o stai parlando dell'account amministratore che hai creato per te stesso in modo da poter ottenere utili registri su chi fa cosa?

Generalmente configurerò l'account Administrator in modo che abbia una password lunga (20+ caratteri) e memorizzerò la password in un luogo sicuro e non utilizzerò mai quell'account. In genere cambio solo quella password ogni anno o giù di lì. La nostra rete ha anche sistemi di blocco e tali che dovrebbero impedire che qualsiasi attacco remoto di forza bruta sia mai molto efficace. Dal momento che non utilizzo mai la password per le attività quotidiane, il probabile capuccio che viene intercettato è quasi inesistente.

Se stai parlando del mio account personale a cui ho concesso i privilegi di amministratore, tendo a cambiarlo ogni 6 mesi circa. Inoltre, tendo a utilizzare l'autenticazione basata su chiave ogni volta che è possibile, in modo che la mia password venga trasmessa molto raramente ovunque. Inoltre, generalmente non lavoro con quello che penso che la maggior parte delle persone considererebbe sistemi ad alto rischio.

Indipendentemente dalla complessità delle password che potresti impostare. È sempre buona norma cambiare la password ogni 30-42 giorni. 6 mesi è una password troppo vecchia. Ci dovrebbe sempre essere una buona politica di password implementata per rimanere al sicuro :-)

Normalmente resetto le password di root solo dopo che un membro dello staff è partito ... ma incoraggio gli utenti con accesso sudo a modificarne la loro ogni 90 giorni.