Verander uw wachtwoord dag heeft een tegenhanger nodig
- Categorie: Veiligheid
1 februari is het wijzigen van uw wachtwoorddag; hoewel niet officieel, maken veel technische sites reclame voor de dag aan hun lezers. Gebruikers wordt gevraagd om wachtwoorden op die dag te wijzigen om de beveiliging te verbeteren.
Hoewel er zeker momenten zijn waarop het wijzigen van wachtwoorden zinvol is, bijv. na een inbreuk op een online service, een succesvolle virusaanval, per ongeluk delen, of om de sterkte van een wachtwoord te vergroten, had in het algemeen beweren dat men alle wachtwoorden op die dag moest veranderen nooit echt zin.
Ik heb liever dat de dag wordt hernoemd naar 'controleer uw wachtwoorden dag'. Gebruikers zouden dat kunnen test hun wachtwoorden tegen de Have I Been Pwned-database (lokaal), en wachtwoorden wijzigen die naar internet zijn gelekt.
Gebruikers kunnen ook de sterkte van wachtwoorden controleren en wachtwoorden wijzigen die door de algoritmen voor het controleren van de sterkte als zwak worden beschouwd, of een wachtwoordbeheerder gaan gebruiken indien toegestaan in de omgeving.
Tweefactorauthenticatie en andere geavanceerde beveiligingsopties, indien beschikbaar, zijn ook het overwegen waard.
Controleer de beveiligingsdag van uw server
Ik stel een tegenhanger voor om uw wachtwoorddag te wijzigen: controleer de dag van uw serverbeveiliging (losjes gebaseerd op Jürgen Schmidt's artikel over Heise ), mijn eigen Over het artikel over wachtwoordbeveiliging uit 2012 , en wachtwoordbeveiliging: wat gebruikers weten en wat ze doen . Hoewel het zeker het geval is dat brute force-aanvallen of gerichte aanvallen gebruikersreferenties kunnen stelen, is een van de grootste bedreigingen afkomstig van bedrijfsservers die worden gehackt.
Of de hack succesvol is vanwege social engineering, onjuist geconfigureerde servers, niet-gepatchte beveiligingsproblemen, verouderde bibliotheken of componenten of 0-day-kwetsbaarheden, is vanuit het oogpunt van de gebruiker niet relevant.
Miljarden wachtwoordsets zijn gratis beschikbaar op internet. Deze sets, Ben ik Pwned Alleen al 6,4 miljard pwned-accounts van 340 sites zijn slechts het topje van de ijsberg. Ze zijn het resultaat van succesvolle inbreuken en worden ofwel direct op het net gepubliceerd, te koop aangeboden of gebruikt zonder dat ze ooit publiekelijk worden gelekt.
De reputatie van een bedrijf lijdt eronder als ze met succes worden aangevallen, maar het lijkt erop dat de meesten vrij snel terugkeren naar 'business as usual' na inbreuken.
Bedrijven moeten de 'check your server security day' gebruiken om de beveiliging te verbeteren. Het is waarschijnlijk niet genoeg om dit één keer per jaar te doen, maar de dag kan worden gebruikt om grondige tests uit te voeren en de beveiliging te verbeteren, bijv. door nieuwe vormen van beveiliging te implementeren of bestaande te verbeteren.
Zelfs als u als gebruiker van een service het sterkst denkbare wachtwoord kiest, kan het zijn dat het in handen komt van criminelen die wachtwoorddatabases dumpen.
Ik probeer alleen te zeggen dat bedrijven hun verantwoordelijkheid moeten nemen. Het is niet genoeg om accountwachtwoorden opnieuw in te stellen na een inbreuk en klaar te zijn met de hele situatie; Bedrijven moeten de beveiliging proactief verbeteren en de serverbeveiliging regelmatig controleren om bepaalde aanvalsvectoren ronduit te blokkeren.
Nu jij: Moeten bedrijven hun servers beter beveiligen?