システムにより、前回の変更後すぐにパスワードを変更できない
今日、ボイスメールのPINを変更しようとしたときに、以前のPINの変更後すぐにユーザーがボイスメールのPINを変更できないようにするルールがシステムに設定されていることに気付きました。
これは、一般的なエンタープライズレベルのテレフォニーシステムで使用されていました。
この種の制限を課しているシステムにはいくつかの欠点があると思います。ピンが危険にさらされていることがわかっている場合は、すぐに変更したいと思います。この種類の制限は、タイミングによってはその慣行を妨げる可能性があります。
forこのタイプの「パスワードを頻繁に変更できない」ポリシーを実装する理由は何ですか？
このタイプのポリシーが実装されている主な理由は、パスワードの再利用の制限なし/制限と組み合わせてパスワードの有効期限を設定し、ユーザーが古いパスワードを引き続き使用できるように、パスワードを十分な時間変更して再利用の制限を回避しないようにするためです。
最後の5つのパスワードの再利用を禁止するポリシーがあるが、「p4ssw0rdverystronk」を保持したい場合、「zxcvbn」、「qwerty」、「password1」、「sefa_pass」、「idonthaveanymoreidea」に変更して、「 p4ssw0rdverystronk」を数分で実行できます。
セファが答えで言っているように、それはパスワードのローテーションを防ぐためです-
パスワードが危険にさらされている場合は、ユーザーに変更してもらいます。
通常、ユーザーはpass nパスワードと同一のパスワードを再利用しないことを要求します。
世間知らずのユーザーは、それが面倒で、すでに記憶されているパスワードを保持したいと思うでしょう。
賢い、世間知らずのユーザーはパスワードをn回変更するので、古いパスワードに戻ることができます。
パスワードの最小有効期間（通常は1日程度）を設定すると、新しいパスワードを保持するだけでなく、ローテーション全体を行うことが難しくなります。
エルゴ、パスワードの有効期間を設定する方が、設定しないよりも安全です。ユーザーを自分の初心者から救うためです。
「新しいパスワードが危険にさらされていることはわかっていますが、変更しただけです。今、危険にさらされたパスワードで立ち往生しています。」という点については、あなたは正しいです-それが問題です。パスワードの有効期間の推奨事項が考案されたとき、これはユーザーが古いパスワードにローテーションするよりもリスクが小さいと考えられていました。また、ユーザーが現在のPINが侵害されていることを知っている場合、うまくいけば、管理者に連絡して強制リセットを実行してもらいます。
まだ言及されていないもう1つの要因は、一部のシステムではパスワードの単一のデータベースが存在しないが、代わりに常に同時にオンラインであるとは限らない複数のデータベースが存在することです。自分のパスワードを変更すると、新しいパスワードが一定期間システム全体に伝播します。新しいシステムでは、複数の要求の発行が最終的に最新のパスワードを保持するすべての人に保持されることを確認するのに問題はないはずですが、一部の古いシステムでは問題が発生し、ポリシーが設定されましたvery保守的に新しいパスワードがないことを確認します変更がまだ「進行中」である間にリクエストが発行される可能性があります。