Redefinições de senha podem ser frustrantes para usuários finais. Ninguém gosta de ser interrompido pela notificação de “hora de alterar sua senha” — e eles gostam ainda menos quando as novas senhas que criam são rejeitadas pela política de senhas de sua organização. As equipes de TI compartilham a dor, com a redefinição de senhas por meio de tickets de service desk e chamadas de suporte sendo um fardo diário. Apesar disso, é comumente aceito que todas as senhas devem expirar após um período de tempo definido.
Por que isso acontece? Você precisa mesmo de expirações de senha? Discover o motivo pelo qual as expirações existem e por que definir senhas para “nunca expirarem” pode evitar algumas dores de cabeça, mas não é a melhor ideia para a segurança cibernética.
Por que temos senhas que expiram?
A política tradicional de redefinição de senha de 90 dias decorre da necessidade de proteção contra ataques de força bruta. As organizações normalmente armazenam senhas como hashes, que são versões embaralhadas das senhas reais criadas usando funções de hash criptográficas (CHFs). Quando um usuário insere sua senha, ela é hash e comparada ao hash armazenado. Os invasores que tentam quebrar essas senhas devem adivinhar a correta executando senhas potenciais pelo mesmo algoritmo de hash e comparando os resultados. O processo pode ser ainda mais complicado para os invasores por técnicas como salting, onde sequências aleatórias são adicionadas às senhas antes do hash.
Ataques de força bruta dependem de vários fatores, incluindo o poder computacional disponível para o invasor e a força da senha. O período de redefinição de 90 dias foi considerado uma abordagem equilibrada para superar ataques de força bruta sem sobrecarregar os usuários com alterações muito frequentes. Os avanços na tecnologia, no entanto, reduziram o tempo necessário para quebrar senhas, solicitando uma reavaliação desta política. Apesar disso, a expiração de 90 dias continua sendo uma recomendação em muitos padrões de conformidade, incluindo PCI.
Por que algumas organizações se livraram dos prazos de validade?
Um dos principais argumentos contra a expiração common de senhas é que isso pode levar à reutilização de senhas fracas. Os usuários geralmente fazem pequenas alterações em suas senhas existentes, como alterar 'Senha1!' para 'Senha2!'. Essa prática prejudica os benefícios de segurança das alterações de senha. O problema actual aqui, porém, não é o ato de redefinir senhas, mas sim a política da organização que permite senhas fracas em primeiro lugar.
O maior motivo pelo qual as organizações optaram por senhas “nunca expiram” é reduzir a carga de TI e de service desk. O custo e a carga de redefinições de senha em assist desks de TI são significativos. A Gartner estima que 20-50% das chamadas de assist desk de TI estão relacionadas a redefinições de senha, com cada redefinição custando cerca de US$ 70 em mão de obra, de acordo com a Forrester. Isso aumenta, especialmente quando os usuários frequentemente esquecem suas senhas após serem forçados a criar novas.
Algumas organizações podem, portanto, ficar tentadas a forçar os usuários finais a criar uma senha muito forte e, em seguida, defini-la para “nunca expirar”, a fim de reduzir a carga de TI e os custos de redefinição.
Quais são os riscos das senhas que nunca expiram?
Ter uma senha forte e nunca alterá-la pode dar a alguém uma falsa sensação de segurança. Uma senha forte não é imune a ameaças; ela pode ser vulnerável a esquemas de phishing, violações de dados ou outros tipos de incidentes cibernéticos sem que o usuário perceba. O Specops Breached Password Report descobriu que 83% das senhas que foram comprometidas atendiam aos padrões regulatórios de comprimento e complexidade.
Uma organização pode ter uma política de senha forte, onde cada usuário last é forçado a criar uma senha forte que seja resistente a ataques de força bruta. Mas o que acontece se o funcionário decidir reutilizar sua senha para o Fb, Netflix e todos os outros aplicativos pessoais também? O risco de a senha ser comprometida aumenta muito, independentemente das medidas de segurança interna que a organização tenha em vigor. Uma pesquisa da LastPass descobriu que 91% dos usuários finais entendiam o risco da reutilização de senhas – mas 59% faziam isso mesmo assim.
Outro risco com senhas 'nunca expiram' é que um invasor pode usar um conjunto de credenciais comprometidas por um longo período de tempo. O Ponemon Institute descobriu que normalmente leva cerca de 207 dias para uma organização identificar uma violação. Embora exigir a expiração de senha possa ser benéfico aqui, é provável que um invasor já tenha atingido seus objetivos no momento em que a senha expirar. Consequentemente, o NIST e outras diretrizes aconselham as organizações a definir senhas para nunca expirar apenas se tiverem mecanismos para identificar contas comprometidas.
Como detectar senhas comprometidas
As organizações devem adotar uma estratégia de senha abrangente que vá além da expiração common. Isso inclui orientar os usuários a criarem frases-senha fortes de pelo menos 15 caracteres. Tal política pode reduzir significativamente a vulnerabilidade a ataques de força bruta. Incentivar os usuários finais a criar senhas mais longas também pode ser alcançado por meio do envelhecimento baseado em comprimento, onde senhas mais longas e mais fortes podem ser usadas por períodos estendidos antes de expirar. Essa abordagem elimina a necessidade de um tempo de expiração único, desde que os usuários sigam a política de senha da organização.
 |
| Mostra de imagens com a construção de senhas mais fortes e envelhecimento baseado no comprimento |
No entanto, mesmo senhas fortes podem ser comprometidas e é preciso haver medidas para detectar isso. Uma vez comprometida, o tempo de quebra de uma senha no canto inferior direito da tabela acima se transforma em 'instantaneamente'. As organizações precisam de uma estratégia conjunta para garantir que estejam se protegendo contra senhas fracas e comprometidas.
Se você estiver interessado em gerenciar tudo isso de forma automatizada a partir de uma interface simples de usar dentro do Lively Listing, o Specops Password Coverage pode ser uma ferramenta valiosa em seu arsenal de segurança cibernética. Por meio de seu serviço Breached Password Safety, o Specops Password Coverage pode verificar e bloquear continuamente o uso de mais de 4 bilhões de senhas comprometidas exclusivas conhecidas. Veja você mesmo com uma demonstração ao vivo.