zgodność polityki hasłowej

Zgodność polityki hasłowej sprawdza, czy stosowane hasła spełniają wymagania bezpieczeństwa organizacji.

Co obejmuje zgodność polityki hasłowej

Zgodność polityki hasłowej oznacza sprawdzenie, czy sposób tworzenia, przechowywania i używania haseł odpowiada wymaganiom przyjętym w danym środowisku informatycznym. Analiza może obejmować minimalną długość hasła, dopuszczalne znaki, zakaz używania haseł wcześniej wykorzystanych, wymuszenie zmiany hasła po podejrzeniu jego ujawnienia oraz zasady blokowania konta po kolejnych nieudanych próbach logowania. Polityka powinna również wskazywać, które konta podlegają kontroli: zwykłych użytkowników, administratorów, konta serwisowe, konta lokalne i konta używane przez aplikacje.

Sama obecność określonego ustawienia nie przesądza jeszcze o zgodności. Trzeba ustalić, czy reguła jest faktycznie egzekwowana przez mechanizm uwierzytelniania. Przykładowo wymaganie dotyczące długości hasła może dotyczyć logowania do systemu operacyjnego, ale nie obejmować oddzielnej aplikacji, konta producenta sprzętu albo konta lokalnego utworzonego poza centralnym zarządzaniem. Rzetelna ocena porównuje zapisaną konfigurację z rzeczywistym zachowaniem systemu i dokumentem określającym wymagania organizacji.

Parametry, które można zweryfikować technicznie

Weryfikacja obejmuje między innymi minimalną i maksymalną długość hasła, wymaganie złożoności, historię poprzednich haseł, minimalny wiek hasła oraz czas jego ważności, jeżeli organizacja stosuje okresową zmianę. Sprawdza się także liczbę dozwolonych prób logowania, czas blokady konta i sposób odblokowania. Istotne jest rozróżnienie między mechanizmem odrzucającym zbyt słabe hasło podczas jego ustawiania a mechanizmem wykrywającym hasła narażone na ujawnienie. Są to dwa różne rodzaje kontroli.

W środowisku Windows ustawienia lokalnej polityki haseł można sprawdzić między innymi za pomocą przystawki Zasady zabezpieczeń lokalnych albo polecenia net accounts. W domenie Active Directory skuteczna konfiguracja może wynikać z zasad grupy, a lokalne ustawienia komputera nie muszą odzwierciedlać reguł zastosowanych do użytkownika domenowego. Dlatego wynik kontroli powinien wskazywać zakres obowiązywania ustawienia i źródło konfiguracji. W innych systemach operacyjnych analizuje się odpowiednie mechanizmy uwierzytelniania, pliki konfiguracyjne i moduły kontroli dostępu, bez zakładania, że nazwy parametrów są identyczne jak w Windows.

Nie należy traktować wymogu używania wielkich liter, cyfr i znaków specjalnych jako jedynego miernika bezpieczeństwa. Długie, unikalne hasło może być odporne na zgadywanie, natomiast hasło krótkie i przewidywalne pozostaje słabe nawet wtedy, gdy zawiera kilka typów znaków. Kontrola zgodności powinna więc uwzględniać długość, unikalność, ochronę przed hasłami powszechnymi oraz dodatkowe uwierzytelnianie, jeżeli jest dostępne dla danego systemu.

Przechowywanie haseł i przebieg kontroli

System nie powinien przechowywać haseł użytkowników w postaci jawnego tekstu. Poprawny mechanizm zapisuje wynik funkcji przeznaczonej do ochrony haseł, wykorzystuje indywidualną sól i odpowiedni koszt obliczeniowy, dzięki czemu przejęcie bazy danych nie ujawnia bezpośrednio wszystkich haseł. Podczas logowania system przetwarza wpisaną wartość i porównuje wynik z zapisanym reprezentantem. Szczegóły tego procesu zależą od konkretnego systemu, dlatego podczas audytu trzeba sprawdzić dokumentację i konfigurację używanego oprogramowania, a nie przypisywać mu automatycznie mechanizmów znanych z innego produktu.

Kontrola zgodności powinna przebiegać w sposób możliwie nieinwazyjny. Najpierw ustala się wymagania, listę kont i zakres systemów, następnie odczytuje się konfigurację oraz rejestry zdarzeń związane z logowaniem i zmianą haseł. Test praktyczny wykonuje się na koncie testowym lub w kontrolowanym środowisku. Można sprawdzić, czy system odrzuca hasło niespełniające reguł, wymusza zmianę hasła po odpowiednim zdarzeniu i blokuje konto zgodnie z ustawionym limitem prób. Nie powinno się testować przez wielokrotne błędne logowanie na koncie produkcyjnym, ponieważ może to wywołać blokadę użytkownika albo alarm bezpieczeństwa.

Wynik należy udokumentować dla każdej reguły osobno: wymaganie, wartość zastaną, zakres obowiązywania, dowód weryfikacji i ocenę zgodności. Jeżeli ustawienie jest niezgodne, opis powinien wskazywać wpływ na logowanie oraz bezpieczny sposób usunięcia rozbieżności. Po zmianie polityki trzeba ponownie sprawdzić skuteczną konfigurację, ponieważ modyfikacja zasad może wymagać odświeżenia ustawień, ponownego logowania lub objąć tylko nowo ustawiane hasła. Warto również odnotować wyjątki, takie jak konta usługowe, dla których zmiana hasła może przerwać działanie programu.

Znaczenie polityki hasłowej podczas serwisowania komputera

Podczas diagnostyki laptopa lub komputera PC zgodność polityki hasłowej może mieć znaczenie, gdy problem dotyczy logowania, odrzuconej zmiany hasła, blokady konta albo braku dostępu do zasobów wymagających uwierzytelnienia. Serwisant powinien rozróżnić awarię sprzętową od problemu z konfiguracją konta. Uszkodzenie dysku, baterii czy pamięci operacyjnej nie zostanie naprawione zmianą polityki haseł, natomiast nieprawidłowa zasada blokady może sprawiać wrażenie, że system nie przyjmuje prawidłowych danych logowania.

Przed wykonaniem czynności administracyjnych należy ustalić, czy użytkownik ma uprawnienia do zmiany ustawień oraz czy komputer działa samodzielnie, czy korzysta z centralnego systemu zarządzania. Nie powinno się prosić o przekazanie hasła w zwykłej wiadomości ani zapisywać go w dokumentacji serwisowej. Do testów można użyć tymczasowego konta lub procedury odzyskiwania dostępu zatwierdzonej przez właściciela urządzenia. Po zakończeniu prac trzeba usunąć konto testowe, wylogować sesje serwisowe i sprawdzić, czy działają wymagane mechanizmy blokady oraz ponownego uwierzytelnienia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego przy pracach dotyczących dostępu do systemu można zweryfikować ustawienia kont oraz działanie lokalnych mechanizmów logowania bez ujawniania haseł użytkownika. W praktyce prawidłowa diagnoza powinna zakończyć się wskazaniem konkretnej przyczyny, zakresu ustawienia i czynności potrzebnych do przywrócenia zgodnego działania komputera.