Wygaśnięcie hasła

Wygaśnięcie hasła wymusza jego zmianę przed kolejnym logowaniem do systemu.

Mechanizm wymuszania zmiany poświadczeń

Wygaśnięcie hasła to działanie polityki, która nadaje poświadczeniom określony okres ważności. Po jego upływie system przy kolejnym logowaniu nie wpuszcza użytkownika do środowiska, dopóki nie ustawi nowego hasła. W domenie Windows odpowiada za to zestaw ustawień polityki kont: maksymalny i minimalny okres ważności, wymuszona długość, wymagana złożoność oraz pamięć poprzednich haseł, która blokuje powrót do starego ciągu znaków. Konta mogą też mieć indywidualnie ustawiony atrybut wyłączający wygasanie, co administratorzy stosują dla kont usługowych.

Osobno działa flaga wymuszająca zmianę przy pierwszym logowaniu, używana przy zakładaniu konta lub po resecie hasła przez dział informatyczny.

Ewolucja podejścia do wymuszanej rotacji

Przez lata standardem było wymuszanie zmiany co trzydzieści albo dziewięćdziesiąt dni. Doświadczenie pokazało, że taka rotacja obniża bezpieczeństwo, bo użytkownicy dopisują kolejne cyfry na końcu tego samego wyrazu albo zapisują hasła na kartkach pod klawiaturą. Obecne zalecenia idą w stronę długich haseł bez terminu ważności, za to ze sprawdzaniem, czy hasło nie występuje w bazach wycieków, i z obowiązkowym drugim składnikiem uwierzytelnienia. Zmiana jest wtedy wymuszana punktowo, po incydencie, a nie kalendarzowo.

W środowiskach hybrydowych dochodzi komplikacja, bo hasło może wygasnąć w usłudze katalogowej w chmurze i lokalnie w różnym momencie, co daje sprzeczne komunikaty.

Kiedy wygaśnięcie odcina użytkownika od pracy

Najbardziej uciążliwy scenariusz to laptop poza siedzibą firmy. Hasło wygasa, komputer nie ma połączenia z kontrolerem domeny, więc nowego hasła nie da się ustawić, a stare już nie działa w usługach. Drugi klasyk to poczta na telefonie, która po zmianie hasła na komputerze zaczyna co kilka minut wyświetlać monit o poświadczenia i po kilkunastu nieudanych próbach blokuje konto. Trzeci to konta usługowe uruchamiające bazę programu handlowego, których hasło wygasło w nocy i rano cała firma widzi błąd połączenia z bazą. Zdarzają się też pozorne wygaśnięcia po rozjechanym zegarze systemowym albo po wyczerpanej baterii podtrzymującej ustawienia płyty głównej.

Porządkowanie dostępu do systemów firmowych

Przy takich zgłoszeniach ustalamy, gdzie faktycznie leży źródło poświadczeń, odblokowujemy konta, porządkujemy zapisane hasła w profilach urządzeń mobilnych i wskazujemy konta usługowe, które nie powinny podlegać rotacji. Doradzamy też sensowną politykę haseł i wdrażamy menedżery haseł zamiast karteczek. Obsługujemy firmy w Warszawie o każdej porze doby, także w weekendy, gdy blokada konta zatrzymuje sprzedaż.