Progettazione della politica delle password

La tua organizzazione ha requisiti complessi per le password, e gli utenti trovano comunque un modo per aggirarli. Serve una lettera maiuscola, un numero e un carattere speciale, quindi cambi

Jaroslaw102026!

a

Jaroslaw112026!

Sì, mi chiamo Jaroslaw, se non l'hai ancora capito.

Chi ha scritto le regole delle password lo ha fatto molto tempo fa e non è mai tornato a verificarle rispetto ai database di password violate o ai modelli odierni.

Regole di complessità

Molte organizzazioni hanno basato la loro politica sulle vecchie linee guida NIST. Sono state scritte per sistemi federali di autenticazione, ma le organizzazioni private potevano adottarle volontariamente, e molte l’hanno fatto. Gli utenti hanno poi trovato il modo più semplice per soddisfare ogni requisito. Quando le password sono diventate troppo complesse da ricordare, le persone le scrivevano su un foglio. Scambiare caratteri in qualcosa di memorizzabile è diventato la nuova normalità.

Gli aggressori lo sanno e costruiscono i loro strumenti basandosi su questo. Le attuali linee guida NIST (SP 800-63B) si sono allontanate dalle regole di composizione per concentrarsi sullo screening delle password contro liste comuni e violate.

Attacchi che una policy sulle password può prevenire

Una policy non fermerà ogni attacco, ma elimina le vittorie facili. Questi sono quelli che colpisce direttamente.

Attacchi dizionario. Gli aggressori usano lunghe liste di parole comuni e password note contro un account. Una policy che blocca le parole del dizionario fa fallire questi tentativi prima che inizino.

Attacchi basati su regole e mutazioni. Gli strumenti di cracking non provano solo "password." Provano anche Password1!, P@ssw0rd, e ogni comune sostituzione di una lettera con un numero o simbolo. Se la tua policy verifica solo la presenza di un carattere speciale, queste password passano. Una policy che rileva la sostituzione di caratteri le respinge.

Password spraying. Invece di attaccare un solo account, gli aggressori provano alcune password comuni su migliaia di account per restare sotto le soglie di blocco. Schemi come Winter2026! o Company123! sono i bersagli abituali. Bloccare schemi prevedibili elimina le password su cui si basa il password spraying.

Credential stuffing. Gli aggressori prendono nomi utente e password da violazioni precedenti e li provano sui tuoi sistemi, scommettendo che le persone li riutilizzino. Controllare le nuove password rispetto ai dati delle violazioni blocca quelle già in circolazione.

Indovinare mirata. Se il tuo nome è Jaroslaw, un attaccante che lo trova su LinkedIn proverà Jaroslaw più un anno. Bloccare nomi personali e nomi utente elimina i tentativi più ovvi.

Cracking offline. Quando gli aggressori rubano gli hash delle password, le password deboli cadono per prime. Una policy non può prevenire il furto, ma rifiutare password prevedibili rende il cracking molto più lungo.

Cosa che la tua policy sulle password dovrebbe rifiutare

Quando riprogetti la tua politica, decidi qual è la tua posizione su ciascuno di questi punti:

• Nomi personali e nomi utente: bloccalì.
• Schemi ripetitivi: rifiuta Jarojaro e Jaaaaaro.
• Schemi di tastiera: rifiuta ASDFG e sequenze simili.
• Sostituzioni di caratteri: rilevarle, così un modello come abcd non può essere mescolato in qualcosa che passa.
• Password compromesse: verifica rispetto ai dati di violazioni note, alla creazione e periodicamente.

I requisiti di maiuscole, minuscole, numerici e caratteri speciali hanno ancora un ruolo. Costruisci le regole del modello su di essi.

Come aiuta Netwrix Password Policy Enforcer

Le policy native delle password di Active Directory non possono fare la maggior parte di quanto sopra. Netwrix Password Policy Enforcer aggiunge:

• Più politiche di password per utenti, gruppi e OUs
• Controlli personalizzati di complessità per lunghezza, set di caratteri e passphrase
• Protezione di dizionario e modelli che blocca parole comuni, sostituzioni e schemi prevedibili
• Blocco del nome utente, così le persone non possono creare una password dal proprio nome account
• Blocco di schemi da tastiera, come ASDFG
• Controlli delle password compromesse rispetto ai dati delle violazioni, come Have I Been Pwned, durante la creazione della password o le scansioni programmate
• Feedback in tempo reale affinché gli utenti sappiano se la nuova password che stanno digitando soddisfa i requisiti designati dalla policy
• Test delle policy prima del deployment, così puoi vedere l'impatto prima degli utenti
• Modelli di conformità integrati per CIS, HIPAA, NERC CIP, NIST, PCI DSS e CJIS

Altre due cose da fare

Attiva MFA. Gli strumenti di IA possono indovinare una password di 15 caratteri se è prevedibile. MFA protegge l'account quando la password viene comunque compromessa.

Conserva le password in una cassaforte. Una cassaforte offre alle persone un luogo sicuro per le credenziali invece di carta o un foglio di calcolo. Netwrix Password Secure si occupa di questo.