你有多久没有改过银行卡的密码了?假如银行让你三个月必须修改一次密码,而且新密码不能重复使用最近5次使用过的密码,你会不会疯掉?最近我实施的某个项目过程中,大量用户抱怨信息系统三个月更改账户密码的策略实在非常麻烦,甚至是“扰民”。三个月的时间很快就过去了,用户不得不重新修改密码,而且根据信息系统密码复杂度的要求,“不能重复使用最近5次使用过的密码”,所以用户不得不创建很多不常用且难于记忆的新密码,很容易就忘记密码,不得不重新申请设置,这个对于用户来说体验确实非常不好,对于正常的工作也是一种骚扰。三个月修改密码就真的就能提升信息安全么?某种程度上,这样的密码策略确实能够把可能遭受信息损失降低一些,比如,黑客从某种途径获取或破解了用户的密码,他可以在这三个月内访问系统,但是三个月后,密码将会过期,企业/用户的信息损失也就到此为止了。但事实真的是这样的么?微软几年前一份研究报告:Frequent password changes are uselessMicrosoft undertook the study to gauge how effectively frequent password changes thwart cyberattacks, and found that the advice generally doesn't make much sense, since, as
...
继续阅读
(44)