Propozycja gry dla informatyków

Propozycja gry dla informatyków – pionów i działów IT powstała na bazie merytorycznego opracowania CERT. Problematyka polityki haseł to jednak temat, który jednak należy traktować nie w kategorii gier i zabaw. Aby jednak uświadomić czytelnikom, powagę sytuacji i pozwolić im na samodzielne podjęcie decyzji co do dalszego stosowania przyjętych przez siebie standardów działań – zdecydowaliśmy się na zaproszenie wszystkich chętnych do zagrania w grę …. „Znajdź swoje hasło”

CERT cyt.; "(...)W dzisiejszym świecie haseł używa każdy człowiek. Ich rola jest jednak często niedoceniana, a używane przez nas sekrety często pozostawiają wiele do życzenia. Ma to bezpośredni wpływ na nasze bezpieczeństwo w świecie wirtualnym, ale nie tylko. Utrata hasła bądź jego wykradnięcie może nieść za sobą poważne konsekwencje dla każdego. Wiele się mówi o tym, że hasła używane w różnych serwisach powinny być unikalne. Jednak na przestrzeni lat specjaliści rekomendowali metody tworzenia haseł i zarządzania nimi, które przestały być aktualne. Poniżej prezentujemy zbiór materiałów, kierowany do wielu grup odbiorców. Ich celem jest poprawa ogólnej świadomości i usystematyzowane przedstawienie współczesnych zaleceń dotyczących zarządzania hasłami(...)".

Rekomendacje CERT dotyczące haseł

CERT Polska rekomenduje następujące zasady dla systemu uwierzytelniającego użytkownika:

POWINIEN stosować bezpieczny algorytm hashujący do przechowywania haseł¹
NIE POWINIEN wymuszać okresowej zmiany haseł użytkowników²
NIE POWINIEN pozwalać na ustawienie hasła znajdującego się na liście słabych/często używanych haseł³
NIE POWINIEN pozwalać na ustawienie hasła zawierającego przewidywalne człony (np. nazwa firmy, usługi)
POWINIEN ustalać minimalną długość hasła na co najmniej 12 znaków
POWINIEN pozwalać na ustawienie hasła o długości co najmniej do 64 znaków
NIE POWINIEN wymagać dodatkowych kryteriów złożoności, np. znaków specjalnych, cyfr czy dużych liter
POWINIEN wymuszać zmianę hasła jeśli potwierdzono, bądź zachodzi podejrzenie, że aktualne hasło zostało przejęte lub upublicznione
POWINIEN podawać dokładny powód w przypadku odrzucenia nowego hasła
NIE POWINIEN blokować wykorzystania funkcji “wklej” na polu hasła
ZALECA SIĘ wsparcie dla uwierzytelniania dwuskładnikowego
ZALECA SIĘ wyświetlanie użytkownikowi wskaźnika szacującego siłę nowego hasła