Wymuszenie zmiany hasła

Wymuszenie zmiany hasła żąda jego ustanowienia od nowa przy kolejnym logowaniu.

Jak wygląda wymuszenie po stronie systemu

W środowisku domenowym wymuszenie zmiany hasła to pojedynczy atrybut konta ustawiany na wartość oznaczającą, że hasło nigdy nie było zmienione. Przy najbliższym logowaniu system nie wpuści użytkownika do pulpitu, tylko od razu wyświetli formularz nowego hasła. To samo ustawienie widnieje w konsoli zarządzania kontami jako pole nakazujące zmianę przy następnym logowaniu, a z wiersza poleceń zmienia je polecenie net user z odpowiednim przełącznikiem. Zasady grupy pozwalają dodatkowo określić maksymalny wiek hasła, minimalną długość, wymagania złożoności oraz liczbę pamiętanych poprzednich haseł, żeby nie dało się wrócić do starego.

Osobnym przypadkiem jest wymuszenie po stronie usługi chmurowej, gdzie unieważnia się przy okazji wydane wcześniej tokeny sesji. Bez tego kroku ktoś zalogowany wcześniej pozostaje w środku mimo zmiany hasła.

Rotacja co miesiąc czy zmiana po incydencie

Przez lata standardem było wymuszanie zmiany co trzydzieści albo dziewięćdziesiąt dni. Praktyka pokazała, że ta reguła obniża bezpieczeństwo zamiast je podnosić: użytkownicy tworzą serie haseł różniące się jedną cyfrą na końcu, zapisują je na kartkach pod klawiaturą i wybierają krótsze, łatwiejsze do przepisywania kombinacje. Współczesne zalecenia instytucji zajmujących się standardami idą w drugą stronę: długie hasło lub fraza, sprawdzanie go wobec list haseł wyciekłych oraz wymuszanie zmiany wtedy, gdy jest ku temu powód, czyli po incydencie, po podejrzeniu wycieku albo po odejściu osoby, która hasło znała.

Nie znaczy to, że wymuszenie jest złym narzędziem. Znaczy tyle, że powinno mieć konkretny powód i towarzyszyć mu drugi składnik uwierzytelnienia tam, gdzie tylko się da.

Konta usługowe i laptopy poza siecią firmy

Masowe wymuszenie zmiany potrafi zatrzymać firmę w dwóch miejscach. Pierwsze to konta, na których uruchamiane są usługi, zadania harmonogramu i połączenia do bazy danych: hasło zapisane w konfiguracji usługi nie zmieni się samo, więc po restarcie serwera przestaje działać system handlowy albo kopia zapasowa. Takie konta prowadzi się osobno, ze świadomą i zaplanowaną rotacją.

Drugie to laptopy pracujące poza biurem. Komputer loguje użytkownika na podstawie danych zapamiętanych lokalnie, więc nowe hasło ustawione na serwerze nie działa, dopóki maszyna nie zobaczy kontrolera domeny; połączenie VPN zestawiane po zalogowaniu nie rozwiązuje problemu, bo najpierw trzeba się dostać do pulpitu. Zdarza się też, że wygasłego hasła nie da się zmienić przez zdalny pulpit, gdy włączono uwierzytelnianie przed nawiązaniem sesji.

Gdy nikt nie może się zalogować

Zablokowane konta, wygasłe hasła i profile, które przestały się wczytywać, to zgłoszenia z gatunku pilnych, bo zatrzymują pracę natychmiast. Odblokowujemy dostęp do stacji i do domeny, porządkujemy zasady haseł tak, żeby nie generowały paraliżu co kwartał, oraz odzyskujemy dane z komputerów, do których nie da się już wejść normalną drogą. Pracujemy przez całą dobę, siedem dni w tygodniu, a w razie potrzeby zostawiamy laptopa zastępczego na czas naprawy.