1.4.2 Правила назначения/изменения паролей

Важнейшей составляющей системы информационной безопасности является подсистема аутентификации пользователей. При этом подсистема аутентификации должна соблюдать правила назначения/изменения паролей. Правила назначения/изменения паролей предусматривают проверку на стойкость пароля к подбору. Подсистема аутентификации должна проверять введенные пользователем пароли при регистрации на минимальную длину, присутствие символов разного регистра и цифр, также должна проверять что слово не находится в словарях.

Другой способ предотвращения подбора паролей заключается в хранении так называемых "социальных словесных конструкций" для каждого пользователя. Эти конструкции можно применять в качестве шаблона при сопоставлении с ними вводимых паролей, и пользователям не будет позволено использовать эти данные в своих паролях. Эта информация может содержать имена супругов, детей, домашних животных, место рождения, юбилей, день рождения и т.д.

В некоторых организациях, например, связанных с оборонным комплексом, может предъявляться требование генерировать автоматически пароль для каких-либо пользователей. Обычно при генерации таких паролей используется разное количество печатных знаков. Генерирование паролей подсистемой аутентификацией возможно, если она имеет достаточный уровень криптографической стойкости. После генерации такой пароль передается пользователю. Недостатком является то, что такой пароль нелегко запомнить. Пользователи имеют тенденцию записывать эти пароли на клочках бумаги, которые могут быть утеряны или похищены.

Другая важная особенность заключается в сроке действия пароля. Если срок действия пароля не определен, то похищенный пароль может использоваться постоянно. Но если пароль имеет определенный срок действия, то в случае компрометации пароля, остается шанс, что проблема разрешится сама собой после изменения пароля в назначенный срок.

Парольная система может подразумевать несколько вариантов смены пароля:

1) По запросу пользователя. В этом случае инициатива принадлежит пользователю, необходимо только обосновать причину смены и поставить в известность администратора системы или службу безопасности.

2) По времени. Например, запоминается последняя дата смены пароля и по прошествии месяца при входе в компьютерную систему или выходе из нее выдается предупреждающее сообщение и предлагается сменить пароль. Срок действия пароля должна определять служба безопасности (администратор) в каждой конкретной системе исходя из важности информации хранящейся в системе и риска раскрытия пароля. Парольная система должна также предупреждать службу безопасности заранее об истечении сроков действия паролей пользователей и требовать их смены.

3) По требованию администратора (службы безопасности). Он имеет право сменить не только свой пароль, но и пароль пользователя. Напри­мер, была попытка несанкционированного входа в систему с подбором пароля или срок его действия истек, а пользователь пароль не меняет и т.д. При появлении опасности вторжения в систему необходимо менять все пароли, а не только те, которые были вовлечены в инцидент с попыткой проникновения в систему.

Для смены пароля предлагается следующий алгоритм действий. Вначале надо получить разрешение у службы безопасности (администратора) на эту операцию и новый пароль. Возможен и такой вариант, где сменить пароль пользователя может только администратор или служба безопасности, хотя организационно это выглядит несколько сложнее. Перед сменой пароля система должна обязательно запросить "старый" пароль и, после проверки его на правильность, предложить ввести новый. При этом он также как и при вводе не должен отображаться на экране компьютера, а во избежание ошибки при наборе на клавиатуре необходимо повторить набор дважды. Это гарантирует от опечатки. Причем, новый пароль вступает в силу лишь тогда, когда пользователь вышел из системы, то есть, только на следующий сеанс работы. И если вдруг потребуется снова сменить пароль (в том же сеансе работы), то нужен тот пароль, с которым ранее входили в систему, а не только что введенный.

При наличии списка запрещенных к использованию комбинаций, надо проверить, не попадает ли новый пароль в этот список. Необходимо сделать запись о смене пароля в системный журнал (кто и когда сменил пароль).

Система должна проконтролировать и такую ситуацию, когда новый пароль аналогичен предыдущему, т.е. реально пароль не меняется, а происходит лишь имитация его смены. Должен присутствовать и контроль повторяемости пароля, а при необходимости и его дублируемости с другим пользователем в случае многопользовательских систем.

По окончании сеанса работы система должна обязательно напомнить пользователю о смене пароля.

Ниже представлен образец правил назначения/изменения паролей:

- вход всех пользователей в подсистему аутентификации должен подтверждаться вводом уникального для пользователя пароля;

- пароль никогда не отображается на экране;

- любое изменение пароля требует двукратного его ввода;

- при превышении лимита ввода неправильного пароля блокировка учетной записи;

- пароли по умолчанию должны быть сменены до официального запуска системы и даже до сколь либо публичных испытаний программного комплекса, особенно это относится к сетевому программному обеспечению;

- через определенные промежутки времени необходима  принудительная смена пароля у пользователей. Наиболее часто используемыми интервалами смены пароля являются год, месяц и неделя, в зависимости от уровня конфиденциальности информации и частоты входа в систему;

- необходимо детально инструктировать пользователей о понятии «простой к подбору пароль»;

- пароли желательно проверять современными программами подбора паролей;

- пароль нельзя использовать повторно, по крайней мере, в течение 24 месяцев после его последнего использования;

- пароль должен оставаться действующим не более 90 дней после последнего изменения.