Warum eigentlich?

Lassen Sie mich diese Frage für einen Moment ignorieren und Ihre implizite Frage beantworten: Sollten wir?
Das heißt, sollten wir weiterhin Benutzer haben, die ihr eigenes Passwort erstellen, das oft schwach ist, anstatt Lassen Sie das System nur ein sicheres Passwort für sie generieren?

Nun, ich bin der kontroversen Meinung, dass es hier einen ziemlich starken Kompromiss gibt - ein sicheres Passwort zu haben und zu wissen, wie sicher es ist (wie Sie betonen), einerseits und Auf der anderen Seite ist das Sicherheitsgefühl des Benutzers. Bis zu einem gewissen Grad "Benutzerfreundlichkeit".

Ich denke, dieses Sicherheitsgefühl hat mehrere Aspekte: Einige Benutzer möchten sicherstellen, dass sie selbst ein sicheres Kennwort haben (z. B. über einen Kennwortmanager oder Diceware). Einige Benutzer möchten ein einfaches Passwort auswählen. und einige Benutzer möchten überall dasselbe Passwort verwenden. Und ja, viele Benutzer erwarten einfach , dass ihr Passwort festlegen kann, aus welchem ​​Grund auch immer. Abgesehen von einer bestimmten Ursache müssen Sie also immer noch den Kampf um die Umerziehung führen, der alles andere als einfach ist .

Vergessen Sie auch nicht, dass der (oft nicht technische) Benutzer, sobald Sie ein gutes sicheres Passwort für den Benutzer erhalten haben, immer noch herausfinden muss, was er damit tun soll - selbst Passphrasen werden schwer zu merken nach dem ersten Dutzend oder so, oder wenn Sie es nur alle 6 Monate verwenden ... Der nicht-technische Benutzer würde es höchstwahrscheinlich in einem Word-Dokument auf seinem Desktop oder in seiner E-Mail speichern. (Und natürlich schreiben Sie das Betriebssystemkennwort auf eine Notiz, die an den Bildschirm angehängt ist).

Verkleinern Sie jetzt nicht diese Gründe oder Ursachen für die Verwendung schwacher Passwörter - wir, die Sicherheitsbranche, haben dieses Szenario für die einfachen Leute über Jahre hinweg erstellt. Aber es kommt wirklich darauf an, wie sicher Ihre Website sein muss. Wie viel Risiko kann der Benutzer selbst übernehmen, und wie viel davon ist das Systemrisiko, das dem Benutzer aus den Händen genommen werden sollte.

Fazit: Ja, ich denke, die meisten Websites mit nicht zu vernachlässigenden Sicherheitsanforderungen sollten die Generierung von Kennwörtern / Passphrasen anbieten. Abhängig vom Profil und der Architektur können Sie bei der Registrierung eines Kontos (oder beim Ändern des Passworts usw.) drei Optionen anbieten. Stellen Sie nur sicher, dass das Passwort erst angezeigt wird, nachdem Sie den Benutzer vor dem Schulter-Surfen gewarnt haben:

• Passphrase generieren - mit einer konfigurierten oder flexiblen Anzahl von Wörtern (Standard)
• Generieren Sie ein verrückt starkes Passwort mit lächerlicher Entropie, z zum Speichern im Passwort-Manager
• Erstellen Sie Ihre eigenen.

Tatsächlich empfehle ich dies seit einiger Zeit (Varianten abhängig von den spezifischen Anforderungen ...).

Zurück zu Ihrer ursprünglichen Frage, warum wird das oben Gesagte nicht getan?
Ich würde eine Kombination aus Legacy-Systemen und schlechten Gewohnheiten erraten. Fehlbildung (die überwiegende Mehrheit der Websites verfügt immer noch über schlechte Kennwortrichtlinien und -empfehlungen); und vielleicht nur ein Mangel an Bewusstsein für eine bessere Lösung.

Ja, dies ist der Grund, warum Passwörter nicht funktionieren. :-)

Das Kennwort an den Benutzer senden

Das einzige Mal, dass ich Systeme gesehen habe, die das Kennwort für den Benutzer festgelegt haben, wird es per E-Mail an den Benutzer gesendet (offensichtlich im Klartext) ), was offensichtlich eine schlechte Idee ist [*] (und SMS, Mail usw. sind nicht viel besser).

Das würde also dazu führen, dass beim Erstellen des Kontos das Passwort angezeigt wird (was auch eine schlechte sein könnte Idee wegen Schulter-Surfens). Ich würde annehmen, dass dies zu vielen Benutzern führen würde, die dies übersehen oder nicht erkennen, dass es wichtig ist. Benutzer sind es gewohnt, sich Passwörter zu merken / aufzuschreiben / zu speichern, wenn sie sie selbst erstellen, aber sie sind es nicht gewohnt, eine Seite zu lesen, nachdem sie ein Konto erstellt haben. Viele würden es höchstwahrscheinlich einfach ignorieren.

_{[*], da jeder, der Zugriff auf das E-Mail-Konto des Benutzers erhält (Brute Force, Benutzer hat vergessen, sich abzumelden usw.), keinen Zugriff hat. Wenn ein Angreifer das Zurücksetzen des Kennworts verwendet, um Zugriff zu erhalten, würde ein Benutzer dies zumindest bemerken. Sub>}

Den Benutzer dazu bringen, sich das Kennwort zu merken

Benutzer müssen ihre Passwörter kennen. In der Regel haben sie hierfür mehrere Optionen (Speicher, Aufschreiben oder Speichern in einem Datei- oder Kennwortmanager). Eine der primären (Speicher) wäre mit Ihrem Ansatz [*] nicht praktikabel, was meiner Meinung nach der Hauptgrund dafür ist, dass Websites keine Passwörter für Benutzer generieren.

_{[*] sogar Mit leicht zu merkenden generierten Passwörtern fällt es Benutzern immer noch schwerer, sich daran zu erinnern, als von ihnen selbst ausgewählte Passwörter. sub>}

Benutzererfahrung

Sicherheit ist nicht das Hauptgeschäft der meisten Webdienste. Es ist oft wichtiger, dass Benutzer glücklich sind, und viele Benutzer werden nicht allzu glücklich sein, wenn sie ihre eigenen Passwörter nicht auswählen können (weil sie sich nicht an generierte Passwörter erinnern wollen und sie nicht aufschreiben wollen, und sie tun es auch keinen Passwort-Manager verwenden wollen). Benutzer möchten nur einen Dienst verwenden, und alles, was dies komplizierter macht, kann möglicherweise dazu führen, dass ein Prozentsatz der Benutzer einen konkurrierenden Dienst nutzt.

Schlussfolgerung

Kennwörter sind immer ein Kompromiss zwischen Benutzerfreundlichkeit und Sicherheit. Wenn Benutzer keine Kennwörter auswählen, wird die Benutzerfreundlichkeit eines Dienstes für die meisten von ihnen zu stark reduziert (und aufgrund der Probleme, das generierte Kennwort tatsächlich an den Benutzer zu senden, werden möglicherweise nicht alle hinzugefügt so viel Sicherheit).

Organisationen möchten, dass Benutzer verantwortlich sind.

Wenn der Benutzer das Kennwort gewählt hat, kann er für die Auswahl eines schlechten Kennworts verantwortlich gemacht werden.

Leider In der realen Welt müssen sich Unternehmen möglicherweise mehr darum kümmern, einen Teil der Verantwortung für Eingriffe zu übernehmen, als darum, sicherzustellen, dass dies nicht möglich ist.

Benutzer möchten etwas auswählen, an das sie sich erinnern können

Viele Benutzer schreiben ihre Passwörter nicht auf (abgesehen davon, ob dies eine gute Idee ist oder nicht). Sie bevorzugen es, etwas zu wählen, an das sie sich erinnern können. (Dies ist besonders wichtig für Tausende von Websites, die kein Kennwort benötigen, die Benutzer jedoch zur Auswahl zwingen müssen.)

Ein Befragter hat die richtige Antwort angesprochen, sie aber nicht ausreichend erweitert, also werde ich es tun.

Sie stellen die Frage aus einer computer- oder IT-zentrierten Perspektive. Aber warum gibt es diese IT? Um dem Kunden zu dienen. Lassen Sie mich das wiederholen: Der Kunde ist nicht da, um Ihnen zu dienen, Sie sind da, um das zu tun, was er von Ihnen verlangt.

In diesem Sinne Lassen Sie uns die Frage noch einmal überdenken: Warum erlauben wir Kunden immer noch, ihre eigenen Passwörter zu wählen? Warum legen wir keine Passwörter für die Kunden fest?

Denn wenn wir Kunden Passwörter aufzwingen, was werden sie dann wohl tun? Wir haben ihnen etwas Unvorstellbares auferlegt, das sie später wissen müssen. Ich garantiere , dass sie sich ein Post-It schnappen und dieses Passwort aufschreiben.

Sie sind gescheitert. Auf Papier geschriebene Passwörter sind ein Sicherheitsfehler. Das soll nie passieren . Und bevor Sie dem Kunden in diesem Fall die Schuld geben, haben Sie ihn gezwungen, ein Passwort zu verwenden, an dessen Erstellung er nicht beteiligt war. Sie hatten keine Chance, es unvergesslich zu machen. Sie sagten ihnen: "Merken Sie sich 'F82 $ fVq9' und schreiben Sie es nicht auf." Als Kunde wäre meine erste Reaktion "F *** you". Unternehmen können Kunden nicht sagen, was sie tun sollen. Kunden werden Wege finden, um zu rebellieren, einschließlich des Aufschreibens Ihrer zufälligen Passwörter. Kämpfe nicht gegen die menschliche Natur. Du. Wille. Verlieren.

Aus diesem Grund lassen wir Kunden Passwörter auswählen. Wenn Ihre Site Salz wert ist, überprüft sie wie die meisten Websites heute die gewählte Kennwortstärke. Es stellt sicher, dass das Kennwort 8 Zeichen lang ist, zwei Ziffern, ein Großbuchstaben und ein Symbol enthält.

Und Sie haben Ihr ursprüngliches Ziel immer noch verfehlt, da heutige Computer Kennwörter mit 8 Zeichen in Sekundenschnelle erzwingen können . Sagen Sie es einfach.

Sie möchten eine echte Passwortsicherheit, die der Kunde wählt, und wo sind Sie auch mit der Stärke zufrieden? Los geht's: https://xkcd.com/936/

Denken Sie so darüber nach. Wenn Sie das Kennwort des Benutzers für ihn auswählen, wird er es vergessen und muss Systeme zum Zurücksetzen des Kennworts verwenden.

Das Kennwort "Mein Kennwort vergessen" ist normalerweise weniger sicher als das Wenn Sie das Kennwort sicherer machen, aber mehr Kennwortrücksetzungen vornehmen, wird das gesamte System weniger sicher, da es schwieriger ist, betrügerische Versuche, mein Kennwort zu vergessen, zu erkennen.

Bearbeiten: Ich gehe davon aus, dass Sie dies nicht tun. Ich arbeite nicht für eine Bank oder ein Atomwaffensilo. Wenn Sie dies tun, ignorieren Sie bitte meinen Rat.

Ich wähle keine eigenen Passwörter aus. Ich verwende einen Passwort-Manager, der zufällige Passwörter für mich generiert.

Die meisten Websites basieren jedoch auf der Idee, dass Benutzer sich ihre Passwörter merken. Für einen Benutzer ist es viel einfacher, sich ein Passwort zu merken, das er selbst ausgewählt hat, als eines, das ihm zugewiesen wurde. Auch in der Praxis verwenden Benutzer auf vielen Websites normalerweise dasselbe Kennwort, und während das Kleingedruckte sie dazu auffordert, dies nicht zu tun, kann der Anmeldevorgang sie nicht aufhalten.

Ich bin der festen Überzeugung, dass Sie sich "auswendig lernen" Das Kennwortmodell ist fehlerhaft, und ein Kennwortmanager ist für nahezu jeden die bessere Wahl. Dies ist jedoch nicht die Realität. Ich habe keine Zahlen, aber selbst unter meinen technisch versierten Freunden ist es selten, für alles einen Passwort-Manager zu verwenden.

In vielen Situationen wird erwartet, dass der Benutzer sein eigener Sicherheitswächter ist, da der Benutzer des Systems keine Bedrohung für das System darstellt. Die Bedrohungen für das System sind Administratoren und Mitarbeiter, die aufgrund ihrer Position eine erhöhte Gefährdung und Berechtigungen / Rechte innerhalb des Systems aufweisen.

Ohne ein ernsthaft fehlerhaftes System ist James Random Person nicht in der Lage 4 Millionen Dollar aus Bits und Bytes zu generieren und seinem Konto hinzuzufügen, ganz alleine. Er oder jemand, der als er handelt, kann nur sein eigenes Konto wirklich beschädigen. Die wirkliche Bedrohung geht von jenen mit erhöhten Privilegien / Rechten aus, die sich im Inneren befinden. Wenn James Random Person ein Passwort von "xxxx22" hat und sein Konto kompromittiert wird, liegt das bei ihm, nicht bei Ihnen.

Ja, sichere Passwörter / Passphrasen sind eine großartige Idee. Sobald Sie jedoch Benutzer dazu zwingen, sie zu verwenden, werden die Benutzer verärgert und die Benutzer werden gehen.

Obwohl diese Frage bereits eine Milliarde Antworten hat, sollten aufgrund der jüngsten Vorschläge für Browser eine weitere Möglichkeit erwähnt werden. Ja, die aktuelle Passwortlösung ist scheiße. Die Antwort ist jedoch nicht, Passwörter besser zu machen. Die Antwort ist, Passwörter loszuwerden. W3C und Fido haben einen neuen Vorschlag unterbreitet, die native Browserunterstützung für die externe Benutzerauthentifizierung voranzutreiben - Hardwareschlüssel, Biometrie usw. Hier nur ein paar Artikel:

https: // techcrunch .com / 2018/04/10 / fido-Allianz-und-w3c-haben-einen-Plan-,-das-Passwort zu töten / amp / https://fidoalliance.org/fido- Allianz-und-w3c-erreichen-wichtige-Standards-Meilenstein-in-globalen-Bemühungen-um-eine-einfachere-stärkere-Authentifizierung-im-Web /

Offensichtlich ist dies ein langer Weg Weg von der allgemeinen Verwendung. Erwähnenswert ist auch, dass es lange dauern wird (wenn überhaupt), bis Anmeldeoptionen wie diese Passwörter vollständig ersetzen. Passwörter werden es noch lange geben. Wenn ich jedoch ein System erstellen würde, das erstklassige Benutzersicherheit benötigt, würde ich mir nicht die Mühe machen, eine alternative Option zur Kennwortgenerierung bereitzustellen. Ich würde einfach die aktuellen Best Practices für Kennwörter unterstützen und alternative Authentifizierungsschemata wie die oben genannten unterstützen, sobald die Technologie durchführbar ist.

Andere Leute haben es bereits erwähnt - aber ich bin der Meinung, dass von einem Benutzer erwartet wird, dass er die Kontrolle über die Sicherheit seines Kontos hat.

Davon abgesehen stimme ich dem zu Viele Passwörter sind nicht sehr sicher und sollten auf jeden Fall von einem Client überprüft werden (wir senden also keine unformatierten Passwörter über das Netzwerk). auf Komplexität prüfen und ob das Passwort nicht punktet Hoch genug, muss der Benutzer ein stärkeres Kennwort erstellen.

Auch wenn für das Kennwort eine Änderung erforderlich ist , wartet der Benutzer immer noch mit der Änderung und wie Sie Ich habe in der Schule immer gehört: "Wenn du es schreibst, wirst du es nicht vergessen." Und ich denke, dasselbe gilt unter diesen Umständen für das Erstellen von Passwörtern.

Off Topic, aber ich kann es nur empfehlen 1Passwort für Benutzer, die Probleme haben, sich Passwörter zu merken.

Wenn Sie das Kennwort für den Benutzer auswählen, kennen Sie die Entropie, anstatt einige Einschränkungen festzulegen, die ihn möglicherweise daran hindern, ein Schema mit niedriger Entropie zu verwenden.

Um dies zu haben Das Beste aus beiden Welten: Sie können auch die Entropie (oder einen beliebigen Mechanismus, den Sie für angemessen halten) berechnen, während sie das von ihnen gewählte Passwort eingeben. Dies ist der Mechanismus, der auf vielen Anmeldeseiten verwendet wird:

Diese Methode bietet mehrere Vorteile (der Benutzer wählt aus Sein Passwort ist ihm bewusst, dass dies ein "gutes" oder "schlechtes" ist, ...).

Stellen Sie einfach sicher, dass Ihre Philosophie, was ein gutes und ein schlechtes Passwort ausmacht, Sinn macht und dass Ihre Die Implementierung ist passwortmanagerfreundlich (ich hasse einfach diese Seiten, die Lastpass im Namen von Gott weiß was brechen)

Ok Passwörter saugen. Ich habe tatsächlich mehr Hinweise auf einen frühen Passwortfehler gefunden als gut konzipierte Passwortsysteme, wenn ich Passwörter als Zugriffskontrollmethode vor Computern betrachte. Es gibt leider drei Methoden, mit denen ich das Problem "angehen" kann.

1. Kostenrisikoanalyse: Entscheiden Sie, dass das Risiko gering und die Kosten hoch sind, also tun Sie nichts (es gibt eine viele Antworten, die aus dieser Sicht auf diese Frage argumentieren).

2. bessere Passwörter: Im Kern sucht Ihre Frage nach einer Möglichkeit, dies zu tun. Leider ist dies schwierig und teuer (Opportunitätskosten mindestens). Zum Beispiel habe ich mich in meiner Freizeit über einen Zeitraum von Monaten bemüht, einen Passwortgenerator einzurichten, der mit pam in den Ablauf des Login-Passworts meines Computers integriert ist. Ich habe keine wesentlichen Fortschritte erzielt und die Basiskomponenten wurden aus meiner ausgewählten Verteilung für Fehler entfernt.

3. etwas anderes als Kennwörter: Ich habe mich bemüht, eine Smartcard-basierte Anmeldung einzurichten meinen Computer, bevor ich ihn meinem Chef empfehle. Ich habe niemanden gefunden, der mir einen zum Testen verkauft. Hoffentlich hat sich dies im letzten Jahr geändert, aber als ich das letzte Mal überprüft habe, dass sie in den USA weniger verfügbar sind als zuvor.

ol>

finde ich das deprimierend.