Sie haben gefragt: " wenn Kennwörter regelmäßig ablaufen sollen, dann sollten Türschlösser regelmäßig ablaufen?". Nun, aus einer falschen Prämisse können Sie jede Schlussfolgerung ziehen! Die Prämisse des regelmäßigen Ablaufs von Passwörtern ist töricht und kontraproduktiv und schadet der Sicherheit, indem Benutzern sinnlose Verwaltungsaufgaben zur schwachen Verteidigung gegen hypothetische Angriffsmethoden auferlegt werden.

Natürlich, wenn Sie Beweise haben, dass a Der Schlüssel wurde kompromittiert - z. B. in einem Foto, das von einer großen Weltzeitung veröffentlicht wurde -, und es kann durchaus ratsam sein, die Schlösser zu ändern, da es möglicherweise ratsam ist, Ihre zu ändern Facebook-Passwort, nachdem Facebook jahrelange Protokollierung von Passwörtern im Klartext gemeldet hat.

Richtlinien zur Kennwortrotation sind vorhanden, um bestimmte Risiken zu verringern, die es einem Angreifer ermöglichen, das Kennwort des Benutzers abzurufen (und zu verwenden). Diese Risiken sind die Wiederverwendung von Passwörtern, Phishing von Anmeldeinformationen oder andere Formen sozialer Angriffe, um das Passwort zu erhalten, die Gefährdung eines Servers und damit der Zugriff auf die gehashten Passwörter oder das brutale Erzwingen.

Keines dieser Risiken gilt wirklich für physische Sperren in der gleichen Schwere wie für Passwörter, dh es gibt keine Wiederverwendung desselben (starken) Schlüssels für andere Orte, keinen Diebstahl von Remote-Anmeldeinformationen mithilfe von Phishing, keinen gemeinsamen Kompromiss eines zentralen Servers für den Zugriff auf alle Schlüssel und keine praktischen Brute-Force-Angriffe.

Der Verlust oder Diebstahl eines Schlüssels ist weiterhin möglich, unterscheidet sich jedoch erheblich von einem Phishing-Schlüssel, da die Person keinen Zugriff mehr auf den Schlüssel hat. Das Klonen eines Schlüssels erfordert einen vorübergehenden physischen Zugriff auf den Schlüssel und ist daher viel schwieriger, unentdeckt zu bleiben. In allen Fällen erfordert die Verwendung des Schlüssels physischen Zugriff auf das jeweilige Schloss und kann nicht von einer entfernten Stelle oder von irgendwo im lokalen Netzwerk aus erfolgen.

Mit anderen Worten : Die Risiken bei physischen Schlüsseln sind unterschiedlich und der Nutzen der Schlüsselrotation ist viel geringer als bei Kennwörtern. Darüber hinaus sind die Kosten einer solchen Risikominderung unterschiedlich: Die Schlüsselrotation ist bei physischen Sperren nicht nur viel weniger nützlich, sondern auch weitaus teurer zu implementieren, da Sperren ersetzt und Schlüssel physisch verteilt werden müssten.

Daher lassen sich die Risiken mit physischen Schlüsseln am besten auf unterschiedliche Weise begrenzen, z. B. durch schwer zu klonende Schlüssel oder durch Kameras an den empfindlichsten Schlössern, um zu überwachen, wer das Schloss öffnet. Darüber hinaus können physische Schlösser und Schlüssel zusätzliche Risiken bergen, die Passwörter nicht haben, z. B. die Anfälligkeit für (oft einfaches) Öffnen von Schlössern ohne den Originalschlüssel. Rotation würde sowieso nicht wirklich vor diesen neuen Risiken schützen.

An einigen Orten wechseln Wohnungseigentümer nach der Vermietung der Wohnung die Schlösser, wenn sie den Mietern kein besonderes Vertrauen entgegenbringen. (Ich scheine mich zu erinnern, dass es bei einigen Arten von mechanischen Schlössern möglich ist, den passenden Schlüssel zu ändern, ohne das gesamte Schloss zu ersetzen - aber nicht alleine, Sie rufen dafür einen spezialisierten Mechaniker an.)

Und afaik Hotels diese Tage ändern routinemäßig die Schlüssel, die die elektronischen Schlösser öffnen, jedes Mal, wenn ein Gast auscheckt. (Sie sind sich über die Mechanik nicht sicher: Entweder werden die Informationen auf der Schlüsselkarte und dem Schloss geändert oder die Korrespondenz der RFID-Karten mit den Räumen.)

Sie können auch Schließfächer an Bahnhöfen in Betracht ziehen Manchmal mit Zahlenschlössern eingerichtet und Sie wählen die Kombination beim Schließen des Fachs - auch bei mechanischen Zahlenschlössern.

Die erwartete Bedrohung ist in den drei Fällen dieselbe: Personen, die Zugang zum Schloss hatten, dies aber nicht sollten. t mehr. Dies entspricht z.B. zum Ändern von Kennwörtern für freigegebene Konten nach dem Beenden eines Mitarbeiters.

Verwenden Unternehmen immer noch individuell verschlüsselte Schlösser? Ich habe eine Karte, die alle Türen öffnet, zu denen ich Zugang habe. Wenn ich gefeuert werde, muss mich jemand aus der Tür lassen, weil mein Schlüssel bereits tot ist, aber alle anderen funktionieren noch. Außerdem kann ich mich bei jedem Computer bei der Arbeit ohne Kennwort (nur eine PIN) mit Verschlüsselung auf Basis öffentlicher Schlüssel anmelden, bei dem der private Schlüssel mein Abzeichen nie verlässt.

Die Kombination aus Abzeichen und PIN ist kaum zu übertreffen , arbeitet sowohl für die physische als auch für die Computersicherheit und erfordert zwei Faktoren. Sie können dasselbe mit einem Telefon / Fingerabdruck / PIN (Faktor 2-3) erreichen, wenn Sie nicht für die Sicherheit auf Ausweisbasis bezahlen möchten.

Wenn Sie noch Schlüsselschlösser haben, dann JA, Ändern Sie diese, OFTEN.

Indem Sie die Schlüssel an den Türen ständig ändern, nehmen Sie den SCHLECHTESTEN Teil der Passwörter und wenden ihn auf ein anderes System an.

Was ich wirklich lieber tun würde, ist anzuwenden Identitäts- / Verschlüsselungs-basierte Technologie für alle Computeranmeldungen UND physischen Sperren durch Zugriff auf alles über denselben öffentlichen Verschlüsselungsschlüssel, bei dem sich der private Schlüssel sicher in Ihrem physischen Besitz befindet und nicht von diesem physischen Medium kopiert werden kann.

Die Risiken: Jemand hat den Schlüssel verloren. Wenn mehr als eine Person einen Schlüssel in der Hand hält, gilt normalerweise die Regel 80/20: In 80% der Fälle wird die Tür von 20% der Personen entriegelt. Man kann den Schlüssel verlieren und es lange nicht bemerken. Er kann sogar vergessen, dass er einen Schlüssel für diese bestimmte Tür besitzt.

Jemand hat den Schlüssel legitim erhalten, wurde nicht berücksichtigt und hat den Schlüssel nicht zurückgegeben, wenn er musste.

etc, etc, ... tatsächlich gibt es viele Möglichkeiten, einen physischen Schlüssel schlecht zu verwalten.

Je nach Einsatz kann das Ändern des Türschlosses eine gute Sicherheitspraxis sein.

Es gibt keine direkte Beziehung zwischen den 2;

Wenn wir einen Risikoansatz verfolgen, um eine Beziehung basierend auf dem Risiko zu finden, müssten wir Folgendes tun:

Wie hoch wäre die Wahrscheinlichkeit, dass jemand mehrere Tests durchführt? Schlüssel oder irgendeine Art von Bewertung in Ihrer Tür / Ihrem Schloss jeden Tag? Hat es eine bekannte Sicherheitslücke? Was ist die Auswirkung, wenn es jemandem gelingt, die Tür zu öffnen?

Aus meiner Sicht wird der Dieb immer den Weg des geringsten Widerstands beschreiten. Es ist also nicht praktikabel, sich durch mehrere Stunden Testen Ihres Schlüssels / Ihrer Tür bloßzustellen.

Wenn Sie jedoch diesem Risiko ausgesetzt sind und die Auswirkungen hoch sind, sollten Sie zusätzliche Sicherheitskontrollen hinzufügen.

Wenn das Ändern des Schlosses am effizientesten ist, denke ich nicht.

Es gibt wahrscheinlich viele andere Sicherheitskontrollen, die Sie Ihrer physischen Tür zuordnen können, um Ihr Risiko mit geringeren Kosten zu minimieren.

Wenn Sie für das Kennwort dieselbe Arbeit ausführen, werden Sie feststellen, dass das Erzwingen der Kennwortänderung von Zeit zu Zeit (abhängig von Ihrem Risiko) eine der billigsten Sicherheitskontrollen ist, um die Sicherheit Ihrer Daten zu gewährleisten.

Unternehmen müssen immer einen Zusammenhang zwischen den Kosten der Sicherheitskontrolle, die sie implementieren möchten, und der Effizienz herstellen. Es ist nicht sinnvoll, viel Geld in Türschlössern auszugeben, wenn Sie noch Fenster zum Betreten haben. Oder geben Sie mehr im Türschloss aus als im Haus.

Ein Gleichgewicht zwischen beiden muss eingehalten werden, es wird von Geschäft zu Geschäft unterschiedlich sein.

Die Art von Angriffen, die das regelmäßige Ändern von Passwörtern zu einer guten Idee machen, wird bei der Anwendung auf echte Sperren viel unmöglicher. Tatsächlich ist der einzige vergleichbare Angriff dieser Art, der möglich ist, den Schlüssel zu stehlen und ihn so schnell wie möglich zu verwenden.

Nun sicher, Sie könnten eine Kopie des Schlüssels erstellen, aber das kostet Zeit und Geld, und Jeder Moment, den Sie verbringen, ohne dass der Schlüssel und der Eigentümer wieder vereint werden, birgt das Risiko, dass der Eigentümer bemerkt, dass der Schlüssel fehlt, was es viel schwieriger macht, die Situation zu verbreiten, ohne erwischt zu werden. Sie können ein Schloss auch nicht brutal erzwingen, indem Sie versuchen, Hunderttausende von Schlüsseln zu verwenden, da dies ewig dauern würde, sehr auffällig aussieht und Sie schließlich erwischen wird. Die Verwendung von Lockpicks wäre hier viel praktischer, würde aber dennoch verdächtig aussehen und das Ändern der Sperren wird hier nicht helfen, es sei denn, der Angreifer hat diese Sperre zuvor geöffnet.

Es gibt auch die Tatsache, dass das Ändern von Passwörtern nichts kostet Das Ersetzen von Schlössern erfordert Zeit und Material, was vergleichsweise kostspielig ist.

Wenn Ihr Türschloss digital ist und durch eine Zahlenkombination geöffnet wird, möchten Sie vielleicht darüber nachdenken.

Wenn Sie den ganzen Unsinn und das Geschwätz hinter sich lassen, ist der eigentliche Grund für regelmäßige Änderungen von Passwörter sind sehr einfach: Wir bemerken nicht immer, dass ein Passwort kompromittiert wurde, und wir sind faul, die verschiedenen Hinweise zu verfolgen, und die Erkennung von Anomalien ist schwierig und hat viele Fehlalarme und ... es ist einfach einfacher, Leute dazu zu zwingen Ändern Sie ihre Kennwörter von Zeit zu Zeit.

Der physische Eintrag mit physischen Schlüsseln verfügt nicht über diese Eigenschaften. Ein Schlüssel kann verloren gehen oder gestohlen werden, wird aber nur selten unbemerkt kopiert. Es ist viel, viel wahrscheinlicher, dass ein Angreifer ein Passwort hat, aber niemand weiß, dass er es tut, als dass er einen Schlüssel hat, den niemand als vermisst bemerkt hat (mit Ausnahme des Falls, dass er ihn kurz vor dem Einbruch gestohlen hat, was nicht der Fall ist). (durch periodische Änderungen abgedeckt).

Bei physischen Schlüsseln ist es viel praktikabler, Änderungen vorzunehmen, wenn Anzeichen für einen Kompromiss vorliegen, anstatt periodisch.