Das kannst du nicht. Ihre Benutzer tun dies, weil der Rücksetzmechanismus sie daran gehindert hat, ihre Arbeit zu erledigen. Die Leute sind klug genug, um einen der Mechanismen zu umgehen, die Sie entwickeln werden. Diejenigen, die es nicht sind, werden schnell von denen lernen, die es sind. Informationen wie diese verbreiten sich schnell.

Wenn Sie irgendwie herausfinden möchten, wie Sie dem häufig verwendeten Schema password1 password2 password3 entgegenwirken können, werden Sie fast sofort mit einem neuen Schema konfrontiert. 1Kennwort 2Kennwort 3Kennwort. Jetzt sehen Sie ein NEUES Muster und iterieren einfach alle Zahlen. Der Benutzer hat also ein noch besseres Schema. PasswortA PasswortB PasswortC. Sie werden Wochen damit verbringen, eine Gegenmaßnahme zu finden, um dann in 10 Minuten von einer klugen Person besiegt zu werden, die an etwas gedacht hat, das Sie nicht getan haben.

Der Punkt ist, dass die Fähigkeiten und Kosten des Benutzers Um Ihre Gegenmaßnahmen zu überwinden, überwiegen bei weitem Ihre Fähigkeiten, ständig neue Systeme zu entwickeln, um sie zu verhindern.

Die Lösung besteht einfach darin, Ihre Benutzer nicht mehr als Gegner zu sehen, die Sie besiegen möchten. Sie sind nicht. Benutzer versuchen einfach, Dinge zu erledigen, und Sie haben eine Barriere dafür errichtet. Wenn Sie dies wirklich so sehr stört, müssen Sie Ihre Einstellung gegenüber den Benutzern anpassen und mit ihnen zusammenarbeiten, um etwas zu finden, das BEIDEN Ihren Bedürfnissen entspricht und keine kontroverse Beziehung herstellt.

Einfach genug: Sie haben ein potenzielles Passwort von "password1". Testen Sie "password" und "password0", um festzustellen, ob sie mit dem alten Hash funktionieren. Der Klartext des alten Passworts muss nicht angezeigt werden, damit dies funktioniert.

Dies funktioniert jedoch aus den Gründen, die Steve Sether angibt, nicht.

Dies wurde an verschiedenen Stellen erörtert, und die meisten Diskussionen scheinen auf das Konzept der Kennworttopologien zurückzukommen - die Muster, die viele Kennwörter aufweisen. Auf YouTube gibt es eine gute OWASP-Präsentation, die darauf hinweist, dass viele Passwörter, die Komplexitätsregeln folgen müssen, ähnlichen Mustern folgen:

• Passwort1! stark> - Wenn Sie mindestens ein Zeichen aus Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen erzwingen, wählen viele Personen ein großgeschriebenes Wort gefolgt von einer Zahl mit dem Sonderzeichen am Ende aus, was häufig der Fall ist sei ? , ! oder . - die Topologie lautet UL + DS (unter Verwendung einer Art Regex-Syntax) )
• Passwort1 - Wenn Sie kein Sonderzeichen erzwingen, erhalten Sie normalerweise kein
• Passwort1 - Wenn Sie keinen Großbuchstaben vorschreiben, erhalten Sie normalerweise keinen, aber wenn Sie dies tun, steht er am Anfang
• qwertyuiop - wenn Sie dies nicht tun. Wenn Sie nichts erzwingen, erhalten Sie Dinge, die einfach einzugeben sind.

Es gibt auch einige Streitigkeiten über den Wert einer regelmäßigen Änderung des Pa sswords, weil sie dazu neigen, genau das Verhalten zu fördern, das Sie sehen. Sie sind jedoch manchmal aufgrund des relativ langsamen Tempos der Geschäftsentscheidungen erforderlich.

Dies lässt den Vorschlag aufkommen, nicht nur eine Kennwortänderung, sondern auch eine Änderung der Kennworttopologie zu erzwingen. Der Vorgang zum Zurücksetzen des Kennworts lautet:

1. Der Benutzer gibt das alte Kennwort (z. B. Kennwort1! ) und das neue Kennwort ( MyS3cret $ ) in der Rücksetzform ein
2. Das System berechnet die Topologie sowohl des alten Kennworts ( UL + DS ) als auch des neuen Kennworts ( ULUDL + S ).
3. System lehnt ab Kennwortänderung, wenn die Topologien übereinstimmen oder wenn das neue Kennwort nicht den Komplexitätsregeln
ol> entspricht

Es ist auch möglich, bestimmte gängige Topologien vollständig abzulehnen. Möglicherweise möchten Sie keine Kennwörter im Formular Kennwort1! . In diesem Fall konfigurieren Sie Ihr System so, dass Kennwörter mit der Topologie abgelehnt werden UL+DS .

Speichern Sie niemals die Topologie eines Passworts damit. Wenn Ihre Datenbank kompromittiert wird, hätten Sie Angreifern eine fantastische Möglichkeit gegeben, ihren Aufwand zum Knacken der wiederhergestellten zu minimieren Passwörter.

Beachten Sie, dass Benutzer immer noch Möglichkeiten finden, schwache Passwörter zu erstellen: Sie können abwechselnd Passwort1! und ! 2Passwort verwenden, aber Dies deutet darauf hin, dass die Häufigkeit der Kennwortänderungen zu hoch ist.

Es ist unkompliziert, das spezifische Problem der Aktualisierung neuer Kennwörter durch den Benutzer zu vermeiden, die den zuvor verwendeten Kennwörtern zu ähnlich sind (z. B. nur Änderungen einer einzelnen Ziffer / eines einzelnen Zeichens).

Auf demselben Bildschirm zum Ändern von Kennwörtern: Der Benutzer muss lediglich sein altes Passwort sowie das angeforderte neue Passwort eingeben. Es wird ohnehin empfohlen, Benutzer zu verpflichten, ihr vorhandenes Kennwort auf den Bildschirmen zur Kennwortänderung einzugeben (dies verhindert, dass jemand, der sein Konto kurzzeitig unbeaufsichtigt angemeldet hat, von einem Angreifer sein Kennwort ändern lässt und sich in Zukunft Zugriff gewährt, während er den tatsächlichen Benutzer sperrt ).

Akzeptieren Sie das neue Kennwort nur, wenn Sie serverseitig überprüfen können, ob alle der folgenden Bedingungen erfüllt sind:

1. Der Hash des alten Kennworts stimmt mit dem gespeicherten Hash überein die Datenbank.
2. Das neue Passwort erfüllt Ihre Stärkeanforderungen (entweder eine lange Passphrase, die möglicherweise nur einen Zeichentyp enthält, oder Sonderzeichen, Groß- und Kleinschreibung, Zahlen und mindestens 8 Zeichen),
3. Die alten und neuen Passwörter (die Sie beide gerade im Klartext erhalten haben, ohne sie im Klartext in Ihrer Datenbank zu speichern) haben einen anständigen Bearbeitungsabstand (z. B. größer als 4). Wenn der Abstand nicht ausreicht, geben Sie dem Benutzer eine Rückmeldung, dass das Kennwort einem vorherigen Kennwort zu ähnlich ist und völlig anders sein sollte.
4. Das neue Kennwort stimmt mit keinem zuvor verwendeten abgelaufenen Hash überein. (Erlauben Sie die Wiederverwendung eines älteren Passworts durch das Passwort nicht.)
ol>

Beachten Sie, dass dies einen bestimmten Benutzer nicht daran hindert,

<password>1 auszuführen -> <other password>1 -> <password>2 -> <other password>2 .

Wenn Sie diese Art von Muster wirklich verhindern wollten, können Sie dies für einige sehr spezifische Muster tun. Das heißt, jedes Mal, wenn ein Kennwort gespeichert wird, können Sie einige allgemeine Änderungen des aktuellen Kennworts hashen und diese als zuvor verwendete abgelaufene Hashes in der Datenbank speichern. Dies kann einige übliche Schemata verhindern (z. B. die nachfolgende Ziffer), aber Benutzer würden Wege finden, um sie zu umgehen (z. B. ein Zeichen in der Mitte des Passworts zu erhöhen).

Das ist etwas knifflig. Es ist einfach, Komplexität durchzusetzen, da Komplexität relativ leicht zu beschreiben ist, aber ein komplexes Passwort in vielen Fällen nicht gut ist. Zum Beispiel, wenn Ihre Richtlinie eine min erzwingt. Länge von 10 Zeichen, ein Sonderzeichen, eine Zahl sowie Groß- und Kleinbuchstaben Viele Leute tun dies:

  David1989 $  

Welches ist der Vorname? , das Geburtsjahr und ein zufällig ausgewählter Sonderzeichen. Dies entspricht der Richtlinie, aber jeder Hacker mit Grundkenntnissen über die Person kann ein solches Passwort in weniger als einer Sekunde mithilfe eines Skripts auflösen, das solche Passwörter aus persönlichen Daten generiert. Eigentlich habe ich vor einiger Zeit ein Skript geschrieben, das solche Informationen von der Website eines Kunden und verwandten Facebook-Profilen gesammelt hat, um solche Passwörter zu generieren. Es hat ziemlich gut funktioniert.

Deshalb habe ich vor einiger Zeit diese Frage gestellt. Seit dieser Erfahrung extrahiere ich häufig alle Benutzerkennwörter vom AD-Server und führe Wortlistenangriffe auf sie mit öffentlich zugänglichen Willenlisten und Wortlisten durch, die von Websites gesammelt werden, die technisch mit dem Unternehmen verbunden sind. Benutzer, deren Passwörter beschädigt wurden, müssen ihr Passwort zurücksetzen und müssen nach dem zweiten Mal, wenn ihr Passwort-Hash gebrochen ist, ein zufällig generiertes Passwort verwenden.

Dies kann zumindest in den meisten Fällen tatsächlich getan werden (das bedeutet natürlich nicht unbedingt, dass es eine gute Idee ist!):

Sie haben Recht damit Es ist praktisch unmöglich, das vorherige Kennwort des Benutzers aus dem gespeicherten Kennwort-Hash wiederherzustellen.

Sie müssen jedoch nicht : Im Rahmen des Kennwortänderungsprozesses ist dies normal Fragen Sie nach dem alten Passwort des Benutzers und überprüfen Sie es. Auf diese Weise können Sie das alte und das neue Kennwort auf Ähnlichkeit vergleichen.

Es ist offensichtlich einfach zu überprüfen, ob am Ende des Kennworts eine einzelne Ziffer hinzugefügt / inkrementiert wird. Dies ermöglicht jedoch zu viele einfache Variationen, die gleichermaßen gleich wären für einen Angreifer offensichtlich. Viel besser wäre es, den Bearbeitungsabstand zwischen den beiden Passwörtern zu berechnen (es gibt bekannte wirksame Algorithmen dafür) und abzulehnen, wenn der Abstand gering ist (z. B. < = 2) - das wird Stellen Sie sicher, dass nur das Ändern einiger Zeichen (wo immer sie sich im Passwort befinden) immer abgelehnt wird.

Natürlich werden die Benutzer weiterhin Möglichkeiten finden, Passwörter mit kleinen Änderungen wiederzuverwenden - aber hoffentlich, wenn ein Angreifer eines oder ein Passwort wiederherstellt Bei zwei historischen Passwörtern ist es jetzt viel weniger offensichtlich, wie das Muster lautet und welches Passwort jetzt versucht werden muss.

Eine Situation, in der dies nicht funktioniert, ist, wenn der Benutzer sein Kennwort vergessen hat (das Szenario "Zurücksetzen des Kennworts"). In dem echten Fall, in dem das Passwort wirklich vergessen wurde, ist dies kein Problem, da es unwahrscheinlich ist, dass das neue Passwort eine einfache Änderung eines Passworts ist, an das sich der Benutzer nicht erinnern kann! Es besteht jedoch das echte Risiko, dass Benutzer "Passwort zurücksetzen" als Problemumgehung verwenden, um ihr Passwort in ein ähnliches wie zuvor zu ändern. (Wenn dies ein großes Problem darstellt, kann die in anderen Fragen vorgeschlagene Lösung verwendet werden - alle Kennwörter innerhalb eines bestimmten Bearbeitungsabstands des neuen Kennworts zu generieren und sie mit dem Hash des alten Kennworts zu vergleichen - dies ist sicherlich praktisch für den Bearbeitungsabstand und für den Bearbeitungsabstand von eins und möglicherweise zwei, aber darüber hinaus beginnt es eine große Menge an Berechnungen zu werden und ist wahrscheinlich nicht durchführbar.)

Eine der größten Sicherheitsbedenken ist die Tatsache, dass Sie die Kennwörter im Klartext speichern, wenn Sie zwischen Unterschieden zwischen einzelnen Zeichen unterscheiden können.

Zunächst sollten Sie die Speicherung dieser Kennwörter als prüfen Ein One-Way-Hash, einfach weil der Kennwortspeicher möglicherweise anfällig für Angriffe ist. Danach können Sie einen Mechanismus implementieren, um sicherzustellen, dass keines der neueren Kennwörter jemals zu einem dieser Hashes führen kann. Dies würde auch bedeuten, dass Sie leider nicht sagen können, ob sie ein Zeichen oder 100 Zeichen nach ihrem aktuellen Passwort hinzufügen. Schließlich gibt es, wie in den vorherigen Beiträgen gesagt, immer Möglichkeiten, sich zu bewegen, und es ist nicht so, dass sie versuchen, bösartig zu sein, sie wollen nur ihre Arbeit erledigen.

Der beste Weg, dies zu implementieren Dies dient dazu, Ihre Benutzer über eine Art Kommunikationsplattform zu informieren, sei es über den Gesang oder über E-Mail- oder Message-Boards usw., und sie auf mögliche Probleme hinzuweisen. Schließlich ist es weniger wahrscheinlich, dass Menschen einen Weg finden, wenn sie wissen, dass sie mehr vom System profitieren als von dem dadurch verursachten Ärger.