Вот почему изменение пароля часто может быть плохой идеей

Мантра среди тех, кто регулярно пользуется Интернетом для большинства вещей, звучит примерно так: «Меняйте свой пароль каждые несколько месяцев / недель, чтобы обеспечить безопасность ваших учетных записей». Это кажется простым и имеет смысл: с новыми вращающимися паролями это должно быть сложнее для воров получить доступ к вашей личной информации. Но главный технолог Федеральной торговой комиссии, профессор Университета Карнеги-Меллона Лорри Крэнор, не согласен с этой теорией.

На прошлой неделе на конференции по безопасности BSides в Лас-Вегасе Крэнор подробно остановился на своей точке зрения, которая возникла после того, как он увидел совет, вынесенный самой FTC. «Я пошел к людям из социальных сетей и спросил их об этом», - объяснил Крэнор. «Они сказали:« Ну, это, должно быть, хороший совет, потому что в FTC мы меняем наши пароли каждые 60 дней ».» Нарушения было более чем достаточно, чтобы разбудить тревожные звонки в голове Крэнора.

41% вновь измененных паролей взломаны в автономном режиме на основе преобразований предыдущих паролей, говорится в исследовании Lorrie Cranor @BSidesLV

- Клаус Крамон Хоуманн (@ClausHoumann) 2 августа 2016 г.

По словам исследователя паролей по профессии, Крэнор говорит, что опасность смены паролей так часто заключается в том факте, что смена паролей часто оставляет уязвимость, когда речь заходит о сложных комбинациях для защиты вашей учетной записи. Ссылаясь на исследование, проведенное в Университете Северной Каролины в Чапел-Хилле, в котором изучалось более 10 000 учетных записей с истекшим сроком действия: «Исследователи UNC сказали, что если людям приходится менять свои пароли каждые 90 дней, они склонны использовать шаблон, и они делают то, что мы называем преобразование », - сказал Крэнор. «Они берут свои старые пароли, немного меняют их, и придумывают новый пароль».

Более того, исследователи смогли создать способ прогнозирования шаблонов паролей, что не является необычным, когда сценарий может быть разработан именно для этого. В конечном итоге алгоритм взломал 17 процентов учетных записей менее чем за пять попыток.

Мышление Крэнора постепенно меняет ситуацию, совсем недавно в FTC. «Я рада сообщить, что для двух из моих шести правительственных паролей мне больше не нужно их менять», - пошутила она.