Ändra ditt lösenord dag behöver en motsvarighet
- Kategori: Säkerhet
1 februari ändrar ditt lösenord dag; även om de inte är officiella, annonserar många tekniska webbplatser dagen för sina läsare. Användarna ombeds att ändra lösenord den dagen för att förbättra säkerheten.
Det finns visserligen tider där det är vettigt att ändra lösenord, t.ex. efter ett online-tjänstbrott, en framgångsrik virusattack, oavsiktlig delning eller för att öka styrkan i ett lösenord, i allmänhet om att man borde byta alla lösenord på den dagen gjorde det aldrig mycket meningsfullt.
Jag skulle hellre byta namn på dagen för att 'kontrollera din lösenordsdag' istället. Användare kunde testa deras lösenord mot databasen Have I Been Pwned (lokalt) och ändra lösenord som läckt ut på Internet.
Användare kan också kontrollera lösenordets styrka och ändra lösenord som anses vara svaga av styrkontrollalgoritmerna, eller börja använda ett lösenordshanterare om det är tillåtet i miljön.
Tvåfaktorautentisering och andra avancerade säkerhetsalternativ, om tillgängliga, är också värda att överväga.
Kontrollera din serversäkerhetsdag
Jag föreslår en motsvarighet att ändra ditt lösenord dag: kolla din server säkerhetsdag (löst baserat på Jürgen Schmidts artikel om Heise ), min egen Om artikeln om lösenordssäkerhet från 2012 , och lösenordssäkerhet: vad användare vet och vad de gör . Även om det verkligen är så att attacker av brute force eller riktade attacker kan stjäla användaruppgifter, kommer ett av de största hoten från företagsservrar som blir hackade.
Huruvida hackingen är framgångsrik på grund av social teknik, felaktiga konfigurerade servrar, oöverträffade säkerhetsproblem, föråldrade bibliotek eller komponenter eller 0-dagars sårbarheter är inte relevant från användarens perspektiv.
Miljarder lösenordsuppsättningar är tillgängliga fritt på Internet. Dessa uppsättningar, Har jag blivit pwned listor 6,4 miljarder pwned konton ensam från 340 platser, är bara toppen av isberg. De kommer från framgångsrika överträdelser och publiceras antingen direkt på nätet, erbjuds till försäljning eller används utan att de någonsin läckt offentligt.
Ett företags rykte lider om de attackeras framgångsrikt men det verkar som om de flesta går tillbaka till 'business as usual' ganska snabbt efter överträdelser.
Företag bör använda 'Kontrollera din serversäkerhetsdag' för att förbättra säkerheten. Det räcker förmodligen inte med att göra detta en gång om året, men dagen kan användas för att utföra grundliga tester och förbättra säkerheten, t.ex. genom att implementera nya former av säkerhet eller förbättra befintliga.
Även om du som användare av en tjänst väljer det starkaste lösenordet som kan tänkas, kan du fortfarande finna att det faller i kriminella händer som dumpar lösenordsdatabaser.
Allt jag försöker säga är att företag måste ta ansvar. Det räcker inte att återställa kontolösenord efter ett intrång och göras med hela situationen. företag måste förbättra säkerheten proaktivt och kontrollera serversäkerhet regelbundet för att blockera vissa attackvektorer direkt.
Nu du: Bör företag bättre säkra sina servrar?