パスワードを再度変更するために24時間待つことはどのように安全ですか？
サービスのパスワードを「間違った」パスワードに変更できました。簡単にするために、安全でないパスワードに変更したとしましょう。
ここで、より安全なパスワードに変更したかったのですが、代わりに素敵なエラーメッセージが表示されました。
入力したパスワードはセキュリティの最小要件を満たしていません。
この新しいパスワードは、前回のパスワードよりも多くの文字、数字、特殊文字を使用していたので、これは興味深いことでした。
私はいくつかの調査を行い、 見つけた 使用しているサービスには、パスワードを再度変更する前に24時間待つ必要があるセキュリティルールがあることがわかりました。
私はプロバイダーにそのリンクの受け入れられた回答を変更できるかどうか尋ねましたが、それは不可能であり、24時間の待機は「セキュリティ上の理由」であると述べました。
それが私の質問につながります。
パスワードを再度変更するために24時間待つことはどのように安全ですか？ユーザーがパスワードを再度変更できるようになるまでユーザーを待たせることの長所と短所は何ですか？
それ自体、1日に1つのパスワード変更のみを許可するルールでは、セキュリティは追加されません。しかし、新しいパスワードは以前のn（通常は2または3）のパスワードとは異なるものでなければならないという別のルールに追加されることがよくあります。
1日1回の変更ルールは、この些細な倒錯を回避する試みです。
- 制限時間に達したため、ユーザーはパスワードを変更する必要があります
- 彼はそれを新しいパスワードに変更します
- 保存されたパスワードの数から1を引いた数を直ちに変更を繰り返します
- 彼はすぐに元のパスワードに戻します=> hurrah、まだ同じパスワードです。これは明らかに、最初のルールが防止しようとしていたものです...
ルールは、1日に何度もパスワードを変更しても、最後のパスワードリストがロールされないことです。しかし残念ながら、前者は多くのシステムに組み込まれていますが、後者はそうではありません...
別の言い方をすると、それは協力的でないユーザーにタイムリーにパスワードを変更するよう強制するための1つの試みにすぎません。
ユーザーが自分のパスワードを決して変更できないようにすることはセキュリティ上の問題ではない、とコメントした後のほんの些細な確率論的分析。たとえば、かなり深刻なユーザーがいて、そのパスワードが1日で侵害されるリスクは1％だとします。 1か月に約20営業日と想定すると、四半期で危険にさらされるリスクは約50％です（11- 1/100）^ 60））。そして、1年後（200営業日）には87％に達します！わかりました、1％は高いかもしれません、そしてちょうど1日あたり0.1％から始めて、1000に1つだけ、かなり無視できませんか？しかし、1年後（200営業日）は、危うくなるリスクはほぼ20％（正直に18％）です。それが休日の写真のパスワードである場合、私は気にしませんが、より重要なものについては重要です。
つまり、---（educateのユーザーにとって不可欠なのは、ルールを簡単に回避できること、およびユーザーが同意しない場合はルールに同意できないことを知っているためです。協同組合。ただし、ユーザーに定期的にパスワードの変更を依頼することは基本的なセキュリティルールです。ユーザーが気付かないうちにパスワードが侵害される可能性があり、緩和策は（侵害された可能性が高い）パスワードを変更することだけです。
他の回答では考えられるセキュリティ上の利点が取り上げられていますが、重大な欠点が1つ発生します。攻撃者がアカウントを制御してパスワードを変更した場合、正当なユーザーがアクセスできるようになるまでの最低24時間のアクセスが保証されます。アカウントを作成し、攻撃者をロックアウトします。
さらに悪いことに、24時間ごとにパスワードを変更することで、ユーザーがタイミングに非常に運がよければ、無期限にアクセスを維持できます。
分散システムでパスワードなどが変更された場合、変更が反映されるまでに時間がかかることがあります。複数の変更要求が同時に保留される可能性がある場合、特に要求に新旧のパスワードに関する情報を含める必要がある場合は、コードの複雑さを増す必要があります。 「デルタ」の形]。そのような問題は乗り越えられないものではありませんが、別のパスワードが発行される前に、パスワードの変更がシステム全体に浸透する可能性があることを許容できる場合は、大幅な複雑化を回避できます。
これが優れたセキュリティの改善になる理由の実際の例を追加しましょう。
あなたの同僚またはあなたのウェブメーラーのパスワードを知った人（たとえば、2年前の7年前のGMail）を考えてみましょう。攻撃者はWebインターフェースにアクセスして、パスワードを変更し（いくつかの理由を想像してください）、POP3を介してメールにアクセスします。 Googleは巨大なネットワークであるため、POP3アクセスのために古いパスワードが無効にされるまでにはしばらく時間がかかります。これにより、攻撃者はパスワードを何度もリセットする可能性があります。リセット機能でアクセスを回復し、スマートフォンのメールボックスアクセスまたはSMSを介してスマートフォンへのリセット戦略で自分自身を検証しても、攻撃者（POP3を介してメールボックスへのアクセス権をまだ持っている）古いまたは彼自身のパスワードで）あなたのパスワードをリセットすることができます。
このような攻撃では、攻撃者はSMS数値）のようなリセット戦略を削除できないため、被害者があなたを永久に締め出すことはできませんが、非常に高いリスクを述べています。
この攻撃ベクトルは、パスワードの変更が24時間ごとにのみ可能であれば、簡単に防止できます。
セキュリティ上の理由から言ったとき、それは正しく定義されていると思います。
おそらく、誰かがあなたのアカウントにハッキングした場合、新しいデバイスまたは職場からサインインしたという何らかの通知が検出されるはずです。これらの用語では、このセキュリティ機能は問題に対応するサポートに完全に依存し、ハッキングが発生した場合のセキュリティポリシーに従って、十分に迅速に応答すると、新しいパスワードが変更されます。
ただし、これは最良のポリシーではないと想定することもできるため、パスワードを再度変更する場合、24時間の最小時間を維持している場合は、さらに制限を課す必要があります。