Da es sich bei dieser Frage nicht um eine technische Frage handelt, sondern eher um menschliches Verhalten, erhalten Sie nicht die Antwort . Was Sie beschreiben, ist jedoch sehr typisch und ich habe die gleiche Erfahrung gemacht.

Komplexe Passwortregeln führen normalerweise nicht zu sichereren Passwörtern. Wirklich wichtig ist nur eine Mindestlänge und eine Überprüfung anhand einer Liste der meisten verwendete Passwörter. Menschen können sich nicht an unzählige sichere Passwörter erinnern, und solche Regeln können sogar gute Passwortschemata beeinträchtigen. Menschen können sehr erfinderisch werden, um solche Regeln zu umgehen, z. durch die Verwendung schwacher Passwörter wie "Password-2018", das die meisten Regeln erfüllt. Oft haben Sie schwächere Passwörter anstelle von stärkeren.

Gleiches gilt für die Regel zur Änderung des Passworts. Es ist sehr üblich, dem Passwort eine zunehmende Anzahl oder den aktuellen Monat hinzuzufügen.

Kürzlich hat NIST ein offizielles Papier veröffentlicht (siehe Kapitel 10.2.1), in dem von solchen Regeln und ihren früheren Empfehlungen abgeraten wird.

Ein Versuch, die bearbeitete Frage zu beantworten:

1. Wir können versuchen, die Authentifizierung zu delegieren, entweder mit Single Sign-On oder mit OAuth2. Auf diese Weise können wir die Kennwörter eines Benutzers reduzieren Ich muss mich erinnern (dasselbe Passwort für mehrere Dienste).
2. Man könnte einen Passwort-Manager empfehlen. Ein Link auf der Anmeldeseite zu einem guten Tool schadet nicht.
3. Wir könnten Passwortphrasen verwenden. Warum nicht ein lustiges Beispiel auf die Anmeldeseite setzen: "Ich schlafe gerne, bis es zu spät ist, um aufzustehen", dies sensibilisiert und zeigt dem Benutzer, wie viel einfacher (und mobilfreundlicher) Passphrasen sein können. Stellen Sie einfach sicher, dass Sie genau dieses Beispiel ablehnen.
ol>

Die beste Lösung besteht darin, Ihre Benutzerbasis für die Verwendung von Passphrasen zu schulen.

Passphrasen sind leichter zu merken, leichter zu tippen - und schwerer zu knacken. Und die von @martinstoeckli erwähnten NIST-Regeln sind passphrasenfreundlich gestaltet.

Fünf zufällige Wörter, die aus einem Wörterbuch mit mindestens 20.000 Wörtern stammen, wären ein guter Mittelweg.

Training wird der Schlüssel sein, wenn Materialien wie Stanfords verwendet werden.

Sie können sogar eine Möglichkeit erstellen, Passphrasen zu generieren und ihnen vorzuschlagen. Es wäre relativ einfach, eine vereinfachte, private Instanz von ae7.st/g oder rempe.us/diceware zu erstellen, die Ihre Benutzerbasis als Ausgangspunkt verwenden kann. Diese werden vollständig auf der Clientseite ausgeführt, sodass die Kennwörter nicht remote erfasst werden können.

[Bearbeiten: Ja, ich bin auch ein großer Fan von Kennwortmanagern. Die ursprüngliche Frage konzentriert sich jedoch auf Helpdesk-Anrufe zum Zurücksetzen von Passwörtern im Unternehmen, was mit ziemlicher Sicherheit AD-Passwörter bedeutet - eines dieser "Front-End" -Kennwörter, die normalerweise gespeichert werden müssen.]

Helfen Sie allen in Ihrer Organisation, einen guten Passwort-Manager zu verwenden. (Ich sollte offenlegen, dass ich für die Hersteller eines sehr guten Passwort-Managers arbeite.)

Im Ernst, Sie haben ein Passwort-Verwaltungsproblem, und die Verwendung eines Passwort-Managers in Ihrer Organisation ist der beste Weg, um dieses Problem zu beheben. Dies ist, wofür Passwort-Manager entwickelt wurden.

Adressieren von Kommentaren

Es gab eine Reihe hervorragender Kommentare, die ich eher spontan beantwortet habe. Es sieht also so aus, als müsste ich mich hier wirklich anstrengen.

Es gibt zwei Fragen zu besprechen.

Passwort des Passwort-Managers vergessen

Ein Passwort-Manager beseitigt nicht die Notwendigkeit, sich alle Passwörter zu merken, hilft aber auf jeden Fall. Mir war nicht ganz klar, ob sich die ursprüngliche Frage speziell auf das Workstation- / AD / LDAP-Benutzerkennwort für die Organisation oder andere Kennwörter konzentrierte.

Eine Sache bei der Verwendung des Kennwortmanagers ist, dass Sie dies normalerweise tun müssen ihr Passwort mehrmals am Tag eingeben. Nach kurzer Zeit lernen die Leute es also gut.

Und wenn wir speziell von 1Password sprechen, haben wir Dinge so eingerichtet, dass es für uns unmöglich ist, die Geheimnisse eines Menschen zu lernen, aber für bestimmte Personen innerhalb eines Organisation, die befugt sein soll, eine Wiederherstellung durchzuführen. In unserer Dokumentation finden Sie Informationen dazu, wie dies für einen Administrator aussieht, oder in unserem Sicherheitsweißbuch finden Sie wichtige Informationen dazu, wie dies alles hinter den Kulissen funktioniert.

Anmeldung an der Workstation

Natürlich können Sie dies Führen Sie Ihren Passwort-Manager nicht auf einem System aus, bei dem Sie sich nicht anmelden können. Abhängig von den Richtlinien Ihres Unternehmens kann der Kennwortmanager jedoch auch auf dem Telefon eines Benutzers ausgeführt werden.

Ich verstehe, dass es einige Einwände dagegen geben wird, bin jedoch der Ansicht, dass es im Interesse der Organisationen liegt, dass das Anmeldekennwort von Personen nicht nur für HTTP verwendet wird. MyKittyPictures.org Dies basiert auf einer Version von Wordpress, die seit einem Jahrzehnt nicht mehr aktualisiert wurde. Sie möchten also, dass Ihre Mitarbeiter sowohl zu Hause als auch bei der Arbeit einen Passwort-Manager verwenden.

Auch hier ermöglicht 1Password (und einige unserer Mitbewerber) die Verwaltung separater Konten, sodass Sie keinen Arbeitsplatz finden Geheimnisse, die an Orte gelangen, die Sie nicht wollen. Ich wollte dies nicht wirklich in ein Verkaufsgespräch verwandeln, aber es gibt Möglichkeiten, Dinge einzurichten, die für die Sicherheitsanforderungen verschiedener Organisationen geeignet sind.

Mit eindeutigen Kennwörtern verringert sich der Bedarf an erzwungener Rotation

(Dies ist relevant, da erzwungene Kennwortrotation dazu führt, dass Benutzer Kennwörter vergessen oder beschissene verwenden.)

Erzwungene Kennwortrotationen schaden im Allgemeinen mehr als sie nützen. Einige der "guten" Dinge, die sie tun, sind, dass Benutzer dazu neigen, dasselbe Kennwort für mehrere Dienste wiederzuverwenden. Sobald einer kompromittiert wird, ist alles, was dasselbe Kennwort verwendet, anfällig.

Benutzer dazu bringen, ein Kennwort zu verwenden Der Manager hilft dabei, Personen von der Wiederverwendung von Passwörtern abzuhalten.

Bei generierten Passwörtern werden Komplexitätsregeln nicht benötigt.

Komplexitätsregeln für Passwörter können ebenfalls mehr schaden als nützen und führen mit Sicherheit dazu Passwörter, die schwer zu merken sind. 1Password bringt die Leute zu sehr starken, aber verwendbaren Master-Passwörtern.

Auch hier versuche ich nicht, daraus ein Verkaufsgespräch zu machen. Schauen Sie sich an, was wir anbieten (sprechen Sie mit uns über die Bedürfnisse Ihrer spezifischen Organisation), aber schauen Sie sich auch andere an. Meiner nicht so bescheidenen Meinung nach sind wir die Besten, aber insgesamt ist mein Punkt, dass viele Ihrer Passwortprobleme mithilfe eines Passwortmanagers behoben werden können. Und es wird Ihre Leute dazu bringen, sich auf sicherere Gewohnheiten einzulassen. Ein Passwort-Manager genießt den glücklichen Punkt, sowohl die Sicherheit zu erhöhen als auch den Benutzern das Leben zu erleichtern.

... das tatsächliche Ergebnis solcher Richtlinien / Kontrollen erreicht nicht das gewünschte Ergebnis.

Genau. Sie haben das gut identifiziert.

1. Überprüfen Sie Ihre Kennwortrichtlinie. Überlegen Sie, was genau Sie schützen und welche Konsequenzen dies hätte, wenn ein Angreifer ein Kennwort herausfindet. Wenn das Passwort nur einen Zugang zu Ihrem Parkplatz bietet, ist es nicht so schädlich, ein ziemlich einfaches Passwort ist ausreichend. Abhängig von den Konsequenzen kann die Richtlinie schwerwiegender sein, in einigen Fällen reicht das Kennwort möglicherweise nicht aus und Sie benötigen möglicherweise Hardwarelösungen wie Smartcards oder USB-Kennwortmanager.

2. Verwenden Sie den Passwort-Manager. Benutzer müssen sich dann nur ein einziges Passwort merken. Für die Systemanmeldung (Windows, Linux, ...) können Sie auf diesem System natürlich keinen Kennwortmanager verwenden, aber Sie können den PW-Manager auf Ihrem Smartphone verwenden (von Ihrem Unternehmen bereitgestellt und konfiguriert und Ihren Sicherheitsrichtlinien entsprechend).

3. Verwenden Sie die 2-Faktor-Authentifizierung. Zum Beispiel Passwort plus SMS. Pro: Passwörter können einfacher sein. Gegen: Benutzer können sich beschweren, weil sie gezwungen sind, dauerhaft Code aus SMS in den Anmeldedialog einzugeben. Sie können es dennoch einfach machen, wenn Sie die 1-Faktor-Authentifizierung in Ihrem Intranet oder in Ihrem Büro und die 2-Faktor-Authentifizierung nur für den Remotezugriff verwenden oder wenn sich der Benutzer nicht von seinem PC aus anmeldet.

4. Automatisches Zurücksetzen von Passwörtern. Geben Sie Ihren Benutzern die Möglichkeit, ihre Passwörter automatisch zurückzusetzen, z. per E-Mail oder SMS.

Die wichtigsten Punkte wurden in anderen Beiträgen gemacht. Ich möchte nur hervorheben, dass

1. es in den meisten Situationen besser ist, Benutzer ein gutes Passwort auswählen und behalten zu lassen, als sie zu zwingen, ihr Passwort regelmäßig zu ändern.

2. Eine einfache Berechnung zeigt, dass aufwändige Komplexitätsanforderungen gegen ein oder zwei weitere Zeichen eingetauscht werden können, dh anstatt die "üblichen" Buchstaben / Ziffern / Sonderzeichen und die Mindestlänge 8 zu erfordern Fragen Sie einfach nach 10 Zeichen.

3. Anforderungen wie Sonderzeichen schwächen Passwörter tatsächlich, da so gut wie kein Benutzer ein zufälliges solches Zeichen an einer zufälligen Position auswählt - Schauen Sie sich einfach die Rockyou-Passwortliste an und sehen Sie sich die Anzahl der Passwörter an, die auf "!" oder ".". Das ist also ziemlich vorhersehbar. Tatsächlich basiert die Argumentation, dass Komplexität die Sicherheit verbessert (genauer: Entropie), auf der Annahme, dass Benutzer Kennwörter wie 1D>u&b8H oder 6mp {: 2tL anstelle von Kennwörtern wie g0tch4 !! oder #1Hottie .

4. Wenn Sie Komplexität wünschen, machen Sie es richtig: fragen Sie nach n out von m verschiedenen Zeichen (z. B. mindestens 8 von 12 oder mehr) und lehnen Muster wie 123456 oder qwerty usw. ab. Dies ist nicht perfekt Aber es wird die schlimmste Art von Müll sofort ausmerzen.

5. Noch besser, ermutigen Sie Ihre Benutzer, Passphrasen zu verwenden.

6. Ich habe auch Passwortvorschläge gesehen, die auf Randall Munroes Idee basieren, vier (oder mehr) zufällige Wörter auszuwählen.

ol>

Wenn Sicherheit wirklich ein solches Problem ist, dann Passwörter sind möglicherweise nicht die richtige Wahl für die Authentifizierung. 2FA- oder Public-Key-basierte Authentifizierung könnte die (zugegebenermaßen teurere) adäquate Lösung sein. Wenn das Management jedoch auf der aktuellen Richtlinie besteht, muss es einfach mit den Ergebnissen leben.

In meiner Firma gibt es hauptsächlich zwei Regeln, unternehmensweit:

• Der Speicher befindet sich entweder "im Speicher" oder in einem bestimmten Passwort-Manager mit einem persönlichen Master Passwort. (KeePass in diesem Fall)
• Die Kennwortkomplexität muss mindestens eine Mindestlänge haben und 3 davon erfüllen:
  • Zahlenzeichen
  • "Sonderzeichen"
  • Kleinbuchstaben
  • Großbuchstaben

Neue Mitarbeiter sind mit diesen Regeln vertraut und nach Bedarf geschult.

Der Schlüssel hier ist die Durchsetzung und Unterstützung des Passwort-Managers. In der Praxis führt dies zu zufälligen, langen und sicher gespeicherten Passwörtern.

Die einzige Ausnahme kann sein, wenn ein Kunde ausdrücklich eine andere Behandlung von Passwörtern für IHRE Systeme verlangt, die vom Projektmanager genehmigt werden muss.

Ich habe ein paar Vorträge zu diesem Thema gehalten, daher gibt es viele Informationen in meinem Kopf und ich hoffe, ich kann es auf ein paar wichtige Punkte reduzieren:

1. Was sind Ihre tatsächlichen Bedrohungen? Die meisten Regeln für die Komplexität von Passwörtern sind uralt, fehlgeleitet und gehen von Brute-Forcing als Hauptbedrohung aus. Wenn Sie ein wenig über das Thema nachdenken, werden Sie mit ziemlicher Sicherheit zu dem Schluss kommen, dass dies nicht der Fall ist. Wenn in 90% der Einstellungen Brute-Forcing überhaupt möglich ist, ist Ihre Software defekt .

2. Benutzer interpretieren Ihre Kennwortrichtlinie immer in der Weg, der es ihnen am einfachsten macht. Dies hat die unbeabsichtigte Folge, dass ein Angreifer, der Ihre Kennwortrichtlinie kennt, tatsächlich einen dramatisch reduzierten Suchraum hat. Wenn Sie beispielsweise Zahlen benötigen, setzt die überwiegende Mehrheit der Benutzer diese am Ende, eine Minderheit am Anfang, und fast niemand mischt sie innerhalb des Wortes so, wie es Ihre trivialen Komplexitätsschätzungen angenommen haben.

3. Lassen Sie die Regeln "Sonderzeichen und Zahlen sowie Groß- und Kleinschreibung" fallen. Sie sind völliger Unsinn. Diese Regeln machen eine Reihe von Angriffen einfacher .

4. Erzwingen Sie lange Passwörter. 8 Zeichen absolutes Minimum, besser 12. Wenn das Passwort ausreichend lang ist, kann es einprägsam sein, es kann ein Wort oder eine Variation oder eine Verwechslung von Wörtern sein. In den meisten Sprachen ist es einfach, unsinnige Wörter zu erstellen. Zum Beispiel "nicht die meisten Worte" aus diesem letzten Satz. Diese sind relativ leicht zu merken und relativ schnell richtig zu tippen. (Das Mischen von Teilen von ungefähr 4 Wörtern ist meine Lieblingsvariante der berühmten xkcd-Antwort auf dieses Thema, die brillant ist, aber zu langen Passwörtern führt, die normale Benutzer nicht eingeben - denken Sie daran, dass die meisten Benutzer die Eingabe nicht berühren können )

5. Überprüfen Sie die von Personen eingegebenen Passwörter anhand einer schwarzen Liste, um sicherzustellen, dass "Passwort" und alles, was in den Top 100 oder so aufgeführt ist, nicht akzeptabel ist. Fügen Sie einige Ihrer eigenen hinzu (z. B. Firmenname oder Firmenname + aktuelles Jahr).

6. Kehren Sie zu Ihren Gedanken über Bedrohungen zurück und ergänzen Sie diese generischen weist auf einige hin, die für Ihre Bedrohungen spezifisch sind. Wenn zum Beispiel die begründete Gefahr besteht, dass Ihre Passwortdatenbank gestohlen wird, haben Sie das einzige Szenario, in dem Brute-Force tatsächlich eine Rolle spielt, und Sie müssen über den Suchraum nachdenken - nachdem Sie sichergestellt haben, dass Sie gute Hashes verwenden, gut Salz und vielleicht Pfeffer. Vielleicht ist es auch einfacher und effektiver, Ihre Datenbank sicherer zu machen, als Menschen dazu zu zwingen, etwas zu tun, was Tausende von Menschen seit Jahrzehnten erfolglos versucht haben? - Wenn Sie jedoch das Schulter-Surfen als ernsthafte Bedrohung identifizieren, möchten Sie auf keinen Fall keine Komplexität bei Passwörtern, da 9 [~ K> '? + D * kg viel langsamer zu tippen sind als "nonmost wordages", obwohl sie die gleiche Komplexität haben (in der Größenordnung von 10 ^ 22).

ol>

Wenn Sie Daten und Nachforschungen benötigen, um andere in Ihrem Unternehmen zu überzeugen, gib mir einen Schrei.

Was Ihre Benutzer stört, ist die strenge Richtlinie, die viele starke Passwörter verhindert und gleichzeitig schwache zulässt.

Die Passwortrichtlinie ist stark mit 'Passwörter müssen mindestens 8 Zeichen mit einer Mischung enthalten von alphanumerischen Zeichen und Sonderzeichen und 60 Tage nach Ablauf. Keine dreimal wiederholten Passwörter.

"Passwort-1" hat einen Großbuchstaben, ist 10 Zeichen lang und hat ein Sonderzeichen, und Sie denken, es ist sicher. "Green Horse President Butter" ist nicht erlaubt, aber viel länger und schwerer zu erraten oder brutal zu erzwingen.

Das Ablaufen von Passwörtern ist eine weitere Sache, von der moderne Passwortrichtlinien abraten. Lassen Sie mich nach Ihren Regeln ein anderes Passwort wählen und ich wähle "Passwort-2".

Persönlich würde ich dies lösen, indem ich ein langes Passwort benötige. Wenn Sie mindestens 20 Zeichen benötigen, funktioniert "Password-123" nicht und Sie werden kreativ. Oder starten Sie einen Passwort-Manager. Einfache Brute-Force hat bei so langen Passwörtern keine Chance und Sie haben eine gute Chance, dass selbst ein nicht so gutes Passwort nicht einfach aus einer Wortliste zusammengestellt werden kann.

Meine Masterarbeit befasste sich mit Informationssicherheit und wie Menschen das schwächste Glied sind. Ich spüre Ihren Schmerz hier, weil Benutzer, sobald Sie die Kennwortregeln zu schwierig machen, ihr Kennwort auf einen Notizzettel schreiben und es an ihren Computer anhängen.

Mein Unternehmen verfügt über mehrere zusätzliche Regeln, die Ihnen dabei helfen, Schritt zu halten Komplexität:

1. 70% Ihrer Passphrase müssen unterschiedlich sein: Dadurch werden Personen von Passwort1 , dann Passwort2 und dann Passwort3
2. Ihr Passwort darf keine Wörter aus dem Wörterbuch enthalten: Dies zwingt die Benutzer dazu, Leet-Rechtschreibung und ähnliche Problemumgehungen zu verwenden.
3. Ihr Passwort kann keine gebräuchliche Passphrase sein: Auf diese Weise können Sie die Ihres Systems testen Passphrasen und verhindern, dass mehr als eine Person dasselbe Passwort verwendet.
ol>

Da Passwörter nur geringfügig besser sind als die Illusion von Sicherheit, ist es möglicherweise besser, eine andere Art der Authentifizierung hinzuzufügen.

Es gibt drei Arten der Authentifizierung:

1. Etwas, das Sie kennen (wie einen Passcode oder eine Passphrase)
2. Etwas, das Sie haben (wie ein Token oder Zugangskarte)
3. Etwas, das Sie sind (wie Fingerabdrücke oder andere biometrische Daten)
ol>

Wenn Passwörter in Verbindung mit 2 und 3 verwendet werden, ist die Komplexität des Passcodes nicht gegeben. ' Dies ist nicht so wichtig und wird häufig auf eine PIN-Nummer reduziert.

Leider besteht die einzige Möglichkeit für das System, wirklich zufällige Kennwörter zu erzwingen, darin, dass das System sie für einen Benutzer generiert… aber dann können Sie fast garantieren dass sie aufgeschrieben werden.

Philosophisch gesehen gibt es zwei Hauptkräfte, an die sich die Menschen unterschiedlich halten. Die erste Kategorie ist Freiheit: Überzeugung über Zwang, Wahl über Verpflichtung, Moral über Durchsetzung. Die zweite Kategorie ist Macht, die das Gegenteil von Freiheit ist. Diese grundlegenden Unterschiede lassen sich in der Politik am besten in Bezug auf Fragen der pro-staatlichen Bewegungen (Sozialismus, Nationalismus) und der pro-Freiheitsbewegungen (Libertarismus) erkennen.

Nun hat die Geschichte deutlich gezeigt, dass Gewalt, Zwang und Gewalt angewendet werden Kontrolle führte in jeder Hinsicht zu schlechteren Ergebnissen, wobei Kommunismus und Faschismus an ihrem Höhepunkt der Manifestation standen. Auf der anderen Seite hat der Kapitalismus (von dem wir derzeit ~ 50% haben) möglicherweise eine Ungleichheit des Wohlstands verursacht, aber auf positive Weise, was dazu führte, dass jeder reicher wurde (indem er den Lebensstandard erhöhte), und diejenigen, die den größten Wert bieten, um unglaublich reich zu werden. Das heißt: Auch die Armen (est) profitieren davon. Wenn Sie dagegen die Gleichstellung des gesamten Wohlstands erzwingen, werden alle arm und viele Menschen können verhungern (aber natürlich nicht diejenigen, die das verursacht haben).

Um auf dieses Thema zurückzukommen: Wann immer Sie ein positives Ziel haben ( Besserer Passwortschutz) Wenn Sie versuchen, sich gewaltsam mit der Freiheit der Menschen herumzuschlagen (indem Sie bestimmte Passwortregeln erzwingen), können Sie einen Rückgang Ihrer Ziele beobachten - bis zum Erreichen des Gegenteils.

Ich denke, eines ist machbar Ein Weg wäre, einen besseren Passwortschutz zu befürworten und sie vor der Fragilität ihrer Passwörter zu warnen. Zeigen Sie ihnen vielleicht eine geschätzte Dauer, um sie zu knacken. Sagen Sie ihnen, sie sollen mehrere Wörter verwenden (was die beste Methode zu sein scheint). Wenn sie jedoch ein Passwort wünschen, das in 2 Sekunden geknackt werden kann, haben sie die Wahl.

Das Bereitstellen von Informationen (und Warnungen) ist meiner Meinung nach besser als das einfache Erzwingen von Kennwortregeln. Denn genau das wird passieren, wie Sie beschrieben haben. Die Leute werden sich ärgern und versuchen, den einfachsten Weg zu finden, um das Problem zu lösen. Das Erzwingen von 9 Buchstaben führt zu vielen 9-Buchstaben-Passwörtern. Wenn Sie ihnen jedoch mitteilen, dass ein bestimmtes Passwort in 2 Sekunden geknackt werden kann, werden sie möglicherweise dazu motiviert, etwas Besseres als das Minimum zu verwenden, zu dem Sie sie sonst zwingen würden, insbesondere wenn es sich um etwas von hoher Bedeutung handelt

Außerdem erschweren viele Sonderregeln (die oft nicht einmal viel Sinn machen, wie 1+ Großbuchstaben und 1+ Sonderzeichen) das Speichern von Passwörtern erheblich, wenn sie diese noch nicht hatten . Es geht also nicht nur um die "Dummheit" der Benutzer, sondern auch um den Versuch der Kontrolle durch "Gewalt".