À quelle fréquence changez-vous votre mot de passe administrateur / root?

12

J'ai la mauvaise habitude de changer rarement le mot de passe administrateur dans mon domaine. Les mots de passe que j'utilise sont assez bons mais je veux être plus cohérent à ce sujet.

Quelle est selon vous une bonne fréquence? Peut-être tous les 6 mois?

password

— user24555
source

90 jours est une bonne pratique générale pour changer les mots de passe.

— Warner

Sous Unix, vous pouvez utiliser un outil comme sudo, ce qui signifie que certains utilisateurs peuvent bénéficier de privilèges root pendant une courte période. Ils n'ont pas besoin de connaître le mot de passe root. En fait, vous pouvez vous en tirer sans avoir un ensemble ou sans le savoir. Dans ce cas, vous n'avez pas besoin de le changer. Les utilisateurs devront cependant changer leurs propres mots de passe.

— Matt

Oh mon dieu, après avoir lu tous ces messages, je sais pertinemment qu'il y a un domaine dans lequel je travaille parfois (dont je ne suis pas l'administrateur système, mais j'ai un compte administrateur) où le administratormot de passe est le même depuis 7 ans, et il ne fait que 8 caractères. Peut-être que je vais leur envoyer un email ...

— Mark Henderson

9

Faisons un calcul rapide (et oublions les meilleures pratiques un instant):

Supposons un délai de six mois pour qu'un attaquant pirate votre système. Supposons également que les mots de passe soient choisis au hasard dans un jeu de caractères de taille 62.

Scénario 1: vous utilisez un mot de passe à 9 caractères pour l'ensemble des six mois.

Scénario 2: vous utilisez un mot de passe à 9 caractères pour les trois premiers mois et un mot de passe à 9 caractères différent pour les trois mois restants.

Scénario 3: vous utilisez un mot de passe de 10 caractères pour l'ensemble des six mois.

Dans le scénario 1 , un attaquant en force brute pirate votre compte avec 100% de certitude, s'il peut effectuer 62 ^ 9 tentatives pendant cette période.

Dans le scénario 2 , s'il ne peut faire que (62 ^ 9) / 2 tentatives en deux fois moins de temps (trois mois), il piratera le compte avec 50% de certitude. Dans la seconde moitié, il aura une autre chance avec 50% de certitude. Donc statistiquement, il piratera le compte avec 75% de certitude.

Dans le scénario 3 , il aura 62 ^ 9 tentatives pour les six mois entiers. Mais il y a 62 ^ 10 possibilités. Il ne piratera donc le compte qu'avec une certitude de 1/62, soit environ 1,6%.

Donc, si nous laissons de côté tous les autres facteurs (comme les mots de passe volés et d'autres types d'attaques), la recommandation serait de choisir des mots de passe plus longs plutôt que d'utiliser des mots de passe plus courts (ou plus simples), même s'ils sont modifiés plus souvent. Surtout, car dans le scénario 3 , il n'y a que 10 caractères à retenir, tandis que dans le scénario 2 , c'est 18 caractères.

— Chris Lercher
source

2

+1, utilisez des mots de passe très longs. Personne ne va réellement déchiffrer un mot de passe de 18 caractères ou plus en 6 mois. S'ils veulent vraiment que vos données soient si mauvaises, ils viennent de s'introduire et de voler le serveur.

— Chris S

J'adore ça, bien dit. Avec les mots de passe ... la taille compte.

— Kara Marfia

Un bon mot de passe long devrait donc bien fonctionner pendant assez longtemps. Je pense que je vais juste utiliser un bon mot de passe et faire un cycle de 12 mois. Cela me donnera une bonne occasion de documenter tout ce qui va casser (malheureusement). Edit: Par bien, je veux dire plus de 16 caractères. J'aime utiliser des phrases qui incluent la ponctuation et les espaces et tout.

— user24555

Je rigole toujours quand quelqu'un parle de forcer un mot de passe par brute. Ça ne va pas arriver. Période. Seul le NSA (ou équivalent) ou le crime organisé peuvent le faire, auquel cas vous avez des problèmes beaucoup plus importants qui ne peuvent pas être résolus avec un bon mot de passe de toute façon.

— Dan Andreatta

Pour ajouter au commentaire précédent, j'ai fait un calcul rapide, et il faudrait environ 1 jour pour déchiffrer un mot de passe de 6 caractères avec un bureau moderne, ce qui conduit à 10 ans pour un mot de passe de 8 caractères. Les performances de chiffrement si à partir du test de vitesse openssl.

— Dan Andreatta

2

Nous sommes principalement des fenêtres, et chacun des administrateurs a son propre compte d'administrateur de domaine, et nous nous faisons simplement confiance pour avoir des mots de passe forts et les changer de temps en temps. Je suis sûr que tout le monde a des mots de passe forts, car nous utilisons la pression des pairs pour nous assurer qu'ils sont longs et contiennent des chiffres et / ou des caractères, mais nous ne les changeons pas assez souvent. \

AJOUT: À ce jour, la plupart des gens ont probablement entendu cela, mais juste au cas où. Bruce Schneier, expert en chiffrement et sécurité, dit que vous devez avoir des mots de passe forts et les écrire.

— Quartier - Réintégrer Monica
source

Comment fonctionne cette pression des pairs? Les gens peuvent-ils voir les mots de passe des autres?

— Bill Weiss du

2

D'après mon expérience, aucun utilisateur ne peut faire confiance pour changer son mot de passe par lui-même, même le personnel informatique.

— ITGuy24

@Bill: nous ne sommes que 3 et nous travaillons ensemble depuis longtemps, donc la pression des pairs va dans le sens de "Je ne t'ai pas vu taper de chiffres à ce moment-là ..."

— Ward - Réintégrer Monica

Cela n'évolue pas très bien :) De plus, prendre l'habitude de regarder les gens taper leur mot de passe administrateur ne se passera pas bien si vous allez sur d'autres sites très souvent.

— Bill Weiss

Qu'en est-il d'avoir quelque chose comme un "pot de jure"? Si un autre administrateur parvient à casser votre mot de passe (en utilisant quelque chose comme ophcrack), vous devez mettre 5 $ dans le pot.

— Nic

1

Bien qu'il soit théoriquement préférable de changer fréquemment de mot de passe, le facteur d'écriture rédige un post-it augmente exponentiellement à mesure que la période de validité raccourcit.

Si c'est pour un usage privé uniquement, pourquoi ne pas utiliser l'authentification par clé publique et avoir juste un bon PW pour votre trousseau de clés?

— Alexander T
source

1

Cette question a des tonnes d'idées pour gérer les mots de passe: serverfault.com/questions/21374/…

— Ward -

1

Parlez-vous réellement du compte d'administrateur pour le domaine (SID: S-1-5-21domain-500), ou parlez-vous du compte d'administrateur que vous avez créé pour vous afin que vous puissiez obtenir des journaux utiles sur qui fait quoi?

En règle générale, je configure le compte administrateur pour avoir un long (mot de passe de 20 caractères et plus) et stocke le mot de passe dans un endroit sûr et n'utilise jamais ce compte. Je ne change généralement ce mot de passe que chaque année. Notre réseau dispose également de systèmes de verrouillage et autres qui devraient empêcher toute attaque à distance par force brute d'être très efficace. Comme je n'utilise jamais le mot de passe pour les tâches quotidiennes, le capot probable de celui-ci étant intercepté est presque inexistant.

Si vous parlez de mon compte personnel auquel j'ai accordé des privilèges d'administrateur, j'ai tendance à le changer tous les 6 mois environ. J'ai également tendance à utiliser l'authentification par clé dans la mesure du possible afin que mon mot de passe soit très rarement transmis n'importe où. Je ne travaille pas non plus avec ce que je pense que la plupart des gens considéreraient comme des systèmes à haut risque.

— Zoredache
source

Je parle de l'administrateur du domaine. Mon propre compte ne fait pas partie du groupe d'administrateurs de domaine. Je pense que ce serait une bonne pratique d'arrêter d'utiliser l'administrateur de domaine d'origine et de créer un administrateur de domaine secondaire avec un nom d'utilisateur différent.

— user24555

0

Peu importe la complexité des mots de passe que vous définissez. Il est toujours recommandé de changer votre mot de passe tous les 30 à 42 jours. 6 mois est un mot de passe beaucoup trop ancien. Il devrait toujours y avoir une bonne politique de mot de passe mise en œuvre pour rester en sécurité :-)

— Vivek Kumbhar
source

4

Où trouvez-vous "30 à 42 jours"?

— Bill Weiss

Il est recommandé de faire expirer les mots de passe tous les 30 à 90 jours, selon votre environnement. De cette façon, un attaquant dispose d'un temps limité pour déchiffrer le mot de passe d'un utilisateur et avoir accès à vos ressources réseau. Par défaut: 42. Pas mes mots, en le tirant des "Meilleures pratiques"

— Vivek Kumbhar

1

Que diriez-vous de nous donner un lien vers un document ou une référence où cela est indiqué au lieu de simplement répéter qu'il s'agit d'une «meilleure pratique». Je refuse généralement de considérer quelque chose comme une meilleure pratique à moins qu'il ne soit publié dans une source fiable.

— Zoredache

1

bien sûr .. content que vous ayez demandé technet.microsoft.com/en-us/library/cc784090(WS.10).aspx

— Vivek Kumbhar

L'outil de recherche de mon navigateur doit être cassé. Je ne vois pas de "42" là-dedans.

— Bill Weiss

-1

Normalement, je ne réinitialise les mots de passe root qu'après le départ d'un membre du personnel ... mais j'encourage les utilisateurs disposant d'un accès sudo à changer les leurs tous les 90 jours.

— Philippe
source