Polityka zmiany haseł na forum

[lesny8]

Dla mnie ta polityka zmiany hasła jest lekko bez sensu.
Ostatnio zmieniłem hasło właśnie ze 3mc temu, bo było to wymuszone i zapomniałem na jakie
Staram się nie zapisywać haseł w przeglądarkach i stosuję politykę różnych haseł w różnych serwisach.
Wtedy zapamiętałem na jednym kompie, gdybym tego nie zrobił to bym musiał hasło resetować.
Teraz musiałem je zresetować, bo ta wymuszona zmiana hasła nie chciała się z telefonu dokonać.
Musiałem odpalić laptopa, z którego i tak się nie mogłem zalogować na konto pomimo wpisywania poprawnie hasła.
Po resecie hasła poprzez "nie pamiętam hasła", po ustawieniu nowego musiałem je od razu zmienić
Masakra.

Obecnie jest 11,7K użytkowników forum, jak Ci którzy logują się sporadycznie po zalogowaniu będą mieć takie kwiatki przy zmianie jak ja, to się zniechęcą.

[kurus]

Jestem na forum od 2021roku i jeszcze nigdy nie zmieniałem hasła. Nigdy na mnie nie została wymuszona zmiana hasła.

Też nie pamiętam abym zmieniał

[pzygmunt]

Zaostrzona polityka odnośnie haseł została niedawno wprowadzona.
Polecam https://keepassxc.org/, którego sam używam, jest opensource i działa lokalnie na komputerze.

[mareks6]

Widzę, że nie tylko mnie wkurzyła ta konieczna zmiana hasła

Nie rozumiem, po co w ogóle kogoś zmuszać do zmiany hasła? Jeśli ktoś ma kiepskie hasło i ktoś mu się włamie na konto to sam sobie winien. Nikt inny chyba na tym nie ucierpi?

Ja od kilku lat używam programu KeePass i tam tworzę i zapamiętuję hasła do witryn w formie kilkudziesięciu losowych znaków (w tym wszelkiej maści znaki specjalne dostępne na klawiaturze QWERTY). To wszystko mam zabezpieczone głównym hasłem a dostęp do pliku wymaga autoryzacji za pomocą telefonu i apki synology.

Często z rana zanim wstanę, czytam sobie na komórce co nowego na forum. Dzisiaj mi to nie było dane gdyż strona wymagała zmiany hasła. Problem w tym, że z poziomu aplikacji w telefonie nie mogę zmienić hasła w bazie bo synchronizacja działa w jedną stronę (celowo). Dopiero teraz musiałem specjalnie kompa odpalać by to cholerne hasło zmienić

[Gitman]

Masakra chyba jedyne takie forum które chce być zabezpieczone bardziej od banku tylko nie rozumiem w jakim celu? Po co ktoś miałby się włamywać na konto forumowe a nawet gdyby to co takiego zrobi ? To już sam cloud nie jest tak zabezpieczony, zróbcie coś z tym bo jest to bardzo irytujące !!

[pzygmunt]

Na przestrzeni ostatnich kilku miesięcy odnotowaliśmy kilkanaście przejęć kont użytkowników. Wszystkie były związane z tym, że osoby niepowołane czy też boty znały hasło.

Poza tym, że po każdym takim incydencie trzeba posprzątać forum po śmieciowych postach to musimy uruchomić czasochłonną procedurę weryfikacyjną. Między innymi trzeba poinformować użytkownika, ustalić wektor ataku, sprawdzić serwer od a-z czy aby nie doszło do włamania na poziomie infrastruktury. Czy nie wstrzyknięto gdzieś jakiegoś złośliwego kodu itp. itd.

Rozumiem, że z Waszej strony zaostrzenie polityki jest uciążliwe niemniej jednak po zmianie polityki liczba incydentów tego typu póki co zmniejszyła się do zera co zaoszczędziło nam bardzo dużo czasu.

[mmiikk]

Kiedyś u mnie w pracy też była polityka zmiany hasła co miesiąc, kiedyś uważano że to są dobre praktyki. Ale dobre praktyki się zmieniły bo okazało się że takie częste zmiany haseł powodują patologię typu zapisane hasło na karteczce czy monitorze albo dodawania tylko cyfr z numerem miesiąca na końcu hasła.
Obecnie hasła nie trzeba zmiana za to wymagania co do złożoności hasła są nieco większe ale przez to jest sAnca zapamiętać to hasło jak nie trzeba go co miesiąc zmieniać

Dokladnie tak, częsta zmiana hasła jest pod względem bezpieczeństwa gorsza niż brak zmiany hasła, ludzie ustawiają albo jakieś krótkie łatwe hasła żeby je pamiętać, albo karteczki, albo robią prosty schemat w haśle, lepiej rzadko zmieniać hasło np raz na dwa lata, wtedy bardziej prawdopodobne są mocne długie hasła, zwyczajnie wryją sie w pamięć.

A Ci którzy nie mieli od lat polecenia zmiany hasła, zapewne od paru lat pewne siedzą na tym samym pliku cookie strony www tez nie za dobrze

[klew]

Ja polecam używanie jakiegoś prostego managera haseł od Google i wstawić sobie automatycznie generowane hasło.
Takie hasła bez problemu się synchronizują automatycznie między różnymi urządzeniami, hasło jest losowe i względnie bezpieczne.
Ważne hasła można sobie zabezpieczyć i trzymać w narzędziach takich jak keypass.

Natomiast dla 99% osób zwykły manager haseł od Google będzie najprostszą i najbezpieczniejszą opcją.

[pzygmunt]

Kiedyś u mnie w pracy też była polityka zmiany hasła co miesiąc, kiedyś uważano że to są dobre praktyki. Ale dobre praktyki się zmieniły bo okazało się że takie częste zmiany haseł powodują patologię typu zapisane hasło na karteczce czy monitorze albo dodawania tylko cyfr z numerem miesiąca na końcu hasła.
Obecnie hasła nie trzeba zmiana za to wymagania co do złożoności hasła są nieco większe ale przez to jest sAnca zapamiętać to hasło jak nie trzeba go co miesiąc zmieniać

Dokladnie tak, częsta zmiana hasła jest pod względem bezpieczeństwa gorsza niż brak zmiany hasła, ludzie ustawiają albo jakieś krótkie łatwe hasła żeby je pamiętać, albo karteczki, albo robią prosty schemat w haśle, lepiej rzadko zmieniać hasło np raz na dwa lata, wtedy bardziej prawdopodobne są mocne długie hasła, zwyczajnie wryją sie w pamięć.

A Ci którzy nie mieli od lat polecenia zmiany hasła, zapewne od paru lat pewne siedzą na tym samym pliku cookie strony www tez nie za dobrze

Tak, zgadzam się. Badania pokazują, że zbyt częsta zmiana haseł generuje problemy jakie opisałeś. Sugeruje się teraz aby hasła były budowane w postaci zdań np. "WczorajWidzialemZielonąSowęNaUlicyAkacjowej33". Niemniej jednak zmiana polityki była wymuszona sytuacją i jak na razie skutecznie zadziałała. Okres zmiany był dlatego tak krótki aby wymusić zmianę również na tych użytkownikach, który niedawno założyli konta. Myślę, że w przyszłości wydłużymy ten czas lub z niego zrezygnujemy.

[[email protected]]

Kiedyś u mnie w pracy też była polityka zmiany hasła co miesiąc, kiedyś uważano że to są dobre praktyki. Ale dobre praktyki się zmieniły bo okazało się że takie częste zmiany haseł powodują patologię typu zapisane hasło na karteczce czy monitorze albo dodawania tylko cyfr z numerem miesiąca na końcu hasła.
Obecnie hasła nie trzeba zmiana za to wymagania co do złożoności hasła są nieco większe ale przez to jest sAnca zapamiętać to hasło jak nie trzeba go co miesiąc zmieniać

Dokladnie tak, częsta zmiana hasła jest pod względem bezpieczeństwa gorsza niż brak zmiany hasła, ludzie ustawiają albo jakieś krótkie łatwe hasła żeby je pamiętać, albo karteczki, albo robią prosty schemat w haśle, lepiej rzadko zmieniać hasło np raz na dwa lata, wtedy bardziej prawdopodobne są mocne długie hasła, zwyczajnie wryją sie w pamięć.

A Ci którzy nie mieli od lat polecenia zmiany hasła, zapewne od paru lat pewne siedzą na tym samym pliku cookie strony www tez nie za dobrze

Tak, zgadzam się. Badania pokazują, że zbyt częsta zmiana haseł generuje problemy jakie opisałeś. Sugeruje się teraz aby hasła były budowane w postaci zdań np. "WczorajWidzialemZielonąSowęNaUlicyAkacjowej33". Niemniej jednak zmiana polityki była wymuszona sytuacją i jak na razie skutecznie zadziałała. Okres zmiany był dlatego tak krótki aby wymusić zmianę również na tych użytkownikach, który niedawno założyli konta. Myślę, że w przyszłości wydłużymy ten czas lub z niego zrezygnujemy.

A 2nd factor raz na jakiś czas? W sumie to bym się bardziej o clouda obawiał
jak dla mnie zmiana raz na pół roku jest rozsądnym kompromisem ,a używanie synchronizacji przez Google wiele upraszcza w używaniu generowanych haseł .

To w takim razie czy fakt że wylogowuje mnie często z laptopa (pytałem o to kiedyś ) a z telefonu wcale, jest powiązane z tą polityka zmiany haseł ? W sensie jakiś krótki czas życia cookie ?