Mengapa menukar kata laluan anda dengan kerap bukan idea yang baik?

Salah satu cerapan keselamatan kata laluan yang paling berkekalan ialah menukar kata laluan anda secara kerap meningkatkan keselamatan. Sekurang-kurangnya, itulah yang telah didesak oleh pasukan IT di seluruh dunia selama beberapa dekad.

Namun, nasihat itu sentiasa mendapat tentangan. Ramai dalam industri keselamatan berpendapat bahawa ini membawa kepada kata laluan yang masih mudah diingati. Kini, penyelidikan telah membuktikan teori ini, menggambarkan bahawa menukar kata laluan kerap membawa kepada masalah keselamatan.

Menukar kata laluan dengan kerap membawa kepada keselamatan yang lemah

Ramai di antara kita mendapati perubahan kata laluan wajib setiap 4, 6 atau 8 minggu menakutkan. Satu kumpulan IT mempromosikan idea bahawa menukar kata laluan anda akan menjadikan sebarang pelanggaran keselamatan menjadi sia-sia, kerana semua orang akan menggunakan kata laluan baharu.

Dalam amalan, ini membawa kepada kelemahan dalam penciptaan kata laluan. Daripada mencipta kata laluan yang kuat, unik dan sukar diteka, kebanyakan orang memilih kata laluan yang mudah diingat dengan bahagian yang kecil dan berulang.

Sebagai contoh, kata laluan 16 aksara yang kukuh mungkin "hS'9{yX?Fzu#=_:R", yang merangkumi gabungan huruf besar dan kecil, nombor dan simbol. Sukar untuk diingati, tetapi lama-kelamaan anda akan memahaminya. Sedangkan jika anda perlu menukar kata laluan anda setiap bulan, anda tidak akan mempunyai masa untuk mengingati ini. Akibatnya, orang ramai mula menggunakan frasa yang lebih mudah diingati dengan bahagian kecil yang berulang.

• Januari: kata laluan sukar1
• Februari: d1kata laluan sukar2
• Mac: d1ff1cultp4ssword3
• V,v...

Pilih kata laluan yang kukuh dan unik (atau gunakan pengurus kata laluan)

Pusat Keselamatan Siber Kebangsaan UK telah mengesyorkan agar tidak menggunakan kata laluan biasa sejak 2015, dan kini, pada 2024, Institut Piawaian Nasional mengikutinya.

Nasihat baharu mereka mengesyorkan kata laluan tamat tempoh setiap 365 hari, mengubah jangka masa dengan ketara — dan meningkatkan keselamatan.

Pada masa yang sama, NIST juga mengemas kini pemesejannya mengenai panjang dan kekuatan kata laluan. Dalam sesetengah kes, peraturan penjanaan kata laluan mengehadkan pengguna kepada 12 aksara atau menghalang simbol tertentu daripada digunakan. Pada masa ini, NIST mengesyorkan bahawa semua kata laluan hendaklah:

• Minimum 15 aksara
• Maksimum 64 aksara
• Termasuk semua aksara ASCII, aksara ruang putih dan aksara Unicode

Perubahan ini bermakna lebih banyak medan kemasukan kata laluan akan membolehkan frasa laluan yang lebih kuat dan mudah diingati, manakala kekuatan kata laluan keseluruhan juga meningkat.

Sudah tentu, mana-mana organisasi yang berkaitan dengan keselamatan kata laluan harus membolehkan penggunaan pengurus kata laluan. Terdapat pertimbangan keselamatan tambahan yang terlibat dengan menggunakan pengurus kata laluan, seperti storan data setempat, penyulitan pengetahuan sifar, dsb., tetapi amalan terbaik untuk melindungi semua akaun anda dengan kata laluan yang kukuh.