Вянваре Imperva, ведущая компания на рынке защиты данных, выпустила отчет с разбором наименее удачных способов назначения пароля Consumer Password Worst Practices, в котором проанализировано 32 млн раскрытых паролей. Вряд ли кто-нибудь из администраторов ИТ удивится, узнав, что чаще всего пароли представляют собой последовательности букв и цифр (например, 123456, abc123) или простые слова и фразы (например, princess, iloveyou, qwerty). Поразительный, хотя предсказуемый факт: четвертый по частоте использования пароль — слово password.
Всем известны требования к надежному паролю: в нем не должно быть никаких личных или идентифицирующих сведений (имени пользователя, даты рождения, города, имени ребенка, клички собаки) и обязательно должны содержаться уникальные символы (цифры; как строчные, так и прописные буквы; специальные символы, такие как подчеркивание). Но заставить пользователей придумывать надежные пароли мучительно трудно. Им сложно составить уникальный пароль и еще сложнее запомнить его. Если требовать от сотрудников офиса использовать надежные пароли, они неизменно начинают записывать пароли на листочках, которые прикрепляют к мониторам. И прощай, безопасность.
Надежные пароли
Последствия использования слабых паролей для компании могут быть очень серьезными, поэтому важно неуклонно проводить политику применения надежных паролей. В отчете компании Imperva приводятся рекомендации по выбору надежных паролей. Перечислим их.
- Пароли должны содержать не менее восьми символов.
- Используйте сочетание символов различных типов (например, строчные буквы, прописные буквы, цифры, специальные символы). Если пароль содержит только одну букву, цифру или специальный символ, то этот единственный отличный от прочих знак не должен быть первым или последним символом пароля.
- Пароль не должен быть именем, жаргонным словом и вообще любым словом, которое есть в словарях. Он также не должен содержать никакой части имени пользователя или адреса электронной почты.
Забытые пароли
К сожалению, надежные пароли запомнить трудно. Один из основных недостатков строгой политики заключается в том, что, если пользователь забывает пароль, системному администратору приходится откладывать любые дела, чтобы немедленно восстановить или отменить пароль. Из-за потерь времени пока забывчивые пользователи лишены доступа к системе снижается производительность. Но регулярно тратить время на переназначение паролей столь же непродуктивно. Отличное решение — программа переназначения пароля.
Существует множество программных продуктов для автоматического переназначения паролей Windows. Благодаря им удается избежать необходимости участия администраторов в восстановлении паролей. Пользователям нужно лишь ответить на несколько вопросов (в некоторых продуктах составить их должен администратор). Отдельные продукты автоматически назначают временный пароль из случайных символов, который пользователь должен изменить вручную, а в других пользователю предоставляется возможность немедленно назначить собственный пароль.
Все продукты переназначения пароля, представленные в данном обзоре, обеспечивают изменение пароля на экране регистрации Windows. В большинстве есть и веб-интерфейс для сброса паролей, а в нескольких предусмотрен доступ по телефону. Некоторые программы даже высылают по электронной почте сообщения о скором истечении срока действия пароля.
Гора с плеч
Чаще всего пользователи обращаются к ИТ-администраторам с просьбой переназначить пароль. Доля таких просьб составляет 25% всех обращений в службу технической поддержки. Не удивительно, что пользователи жалуются на медленную реакцию ее сотрудников. Трудно оперативно выполнять свою работу, если два часа в день приходится заниматься переназначением паролей. Лучше передать полномочия пользователям и освободить специалистов по ИТ для более важных задач. Подумайте о применении продукта переназначения из данного обзора или иной аналогичной программы. Затраты на приобретение быстро окупятся за счет сэкономленного времени.