Det er mandag morgen efter ferien, og der er gået mere end 60 dage, siden du sidst skiftede din adgangskode til firmanetværket. Før du kan logge på, bliver du derfor bedt om at finde på en ny adgangskode.
Ovenstående har været velkendt for it-brugere i snart flere årtier, men i smartphonens tidsalder er der kommet et nyt problem i forbindelse med dét, der tidligere blot var et irritationsmoment til dagens første kop kaffe.
Som bruger kan man nemlig opleve at blive låst ude af hele netværket, selvom man har skiftet sin adgangskode.
Årsagen skal typisk findes i mobile enheder, som forsøger at logge på med det gamle kodeord. Det bliver i det centrale loginsystem registreret som fejlslagne logins, og hvis systemet er sat op til at reagere på for mange fejlslagne forsøg, så kan kontoen blive låst, og skal låses op af it-afdelingen.
Hvis man slås med den opsætning på sin arbejdsplads kan det derfor betyde, at man på den store password-skiftedag skal være i besiddelse af både mobiltelefon og tablet, så man kan skifte kodeordene i mailopsætningen med det samme.
Microsofts produktchef for administrationsværktøjet System Center, Ken Hyld, skriver i et svar til Version2, at det er en fejl på enhederne, hvis de bliver ved med at forsøge, når serveren svarer, at login ikke lykkedes.
»Det er dårligt design, hvis en enhed automatisk fortsætter med at forsøge et kodeord, som én gang blevet afvist. Ethvert godt designet authentication-system vil behandle gentagne fejlslagne forsøg som fjendtlige og dermed behandle brugerkontoen som kompromitteret,« skriver Ken Hyld til Version2.
Ifølge Microsoft ligger ansvaret altså hos producenterne af den software, som forsøger at logge på, og det er ikke en god idé som it-ansvarlig at slå den automatiske låsning af brugerkonto ved for mange fejllogins fra.
Lås højst brugeren ude i et kvarter
Microsoft vil ikke give specifikke anbefalinger til én bestemt konfiguration af Active Directory, som er det system, Windows benytter til autentificering og styring af brugerkontoer. I stedet bør man søge rådgivning om den optimale opsætning for netop éns egen organisation.
Generelt er der dog visse overordnede råd til, hvordan en god password-politik bør se ud ifølge Microsoft.
»Når vi taler med de største organisationer i Danmark om password-politikker, så anbefaler vi, at de bør bruge komplekse og lange kodeord, og at de forhindrer brugerne i at genbruge tidligere anvendte kodeord, samt automatisk låser en brugerkonto op igen efter kort tid, så brugeren ikke behøver kontakte servicedesken,« skriver Ken Hyld til Version2.
En opsætning, som Microsoft benytter i selskabets Security Compliance Manager, lyder på, at en bruger maksimalt er låst ude i 15 minutter. Derefter kan brugeren forsøge igen. Fem fejlslagne forsøg skal føre til, at kontoen bliver låst, men tælleren kan nulstilles efter 15 minutter.
Samtidig bør man sikre en kodeordslængde på mindst 14 tegn, som opfylder visse krav til kompleksitet, som typisk indebærer store og små bogstaver, tal og specialtegn.
Ud over mobile enheder, så kan gamle Citrix-sessioner eller fjernadgang, som ikke er blevet afsluttet korrekt, også føre til, at der kommer for mange fejlslagne logins. Men det kan også være applikationer, der benytter Microsofts Active Directory som single-signon til systemerne, hvor det nye kodeord ikke bliver opdateret hurtigt nok.
Brug logfiler til at opdage hackerforsøg
Formålet med at låse en brugerkonto som følge af fejlslagne logins er at sikre mod brute force-angreb. Det vil sige angreb, hvor en angriber forsøger sig med forskellige mulige adgangskoder i håb om at ramme det kodeord, brugeren anvender.
Normalt anbefaler man fem fejlslagne forsøg, før en konto bliver låst, men hvis kodeordene i øvrigt er gode, og man oplever problemer, så kan man sætte grænsen højere, hvilket Microsoft også selv råder til. Hvis et brute force-angreb er begrænset til at lave 100 forsøg, hvorefter der skal ventes i 15 minutter, før man kan prøve 100 gange igen, så burde det med gode kodeord ikke have nogen praktisk betydning for sikkerheden.
Her er det imidlertid vigtigt, at man sørger for at logge fejlslagne logins, så man kan opdage, hvis der sker usædvanligt mange fejlslagne login-forsøg.
Hvis man har vanskeligt ved at identificere, hvilke enheder, tjenester eller applikationer, som er skyld i utilsigtet låsning af en brugerkonto, så kan man også justere den tid, der må gå mellem to fejlslagne login-forsøg, før tælleren bliver nulstillet. Minimumsgrænsen er dog ét minut.
Som it-ansvarlig kan der være gode argumenter for at implementere en password-politik, som inkluderer en automatisk lås efter et antal fejlslagne forsøg, men der er også gode argumenter imod.
Brugerne skal bruge tid på at skifte kodeordet og på at finde på et nyt kodeord, som de skal kunne huske uden at bryde andre regler som eksempelvis at skrive det på gule sedler, klistret til skærmen.
Mange brugere har en formel for adgangskoder, som kan justeres, når systemet kræver et nyt kodeord, og det giver kodeord, som kan være lette at gætte, hvis en hacker opsnapper ét af de tidligere kodeord, såsom 'NisselandAug13', som skiftes til 'NisselandSep13' i næste måned.
Regelmæssige skift af kodeord er en tabertaktik
Hvis en hacker har fået fat i en kopi af kodeordsdatabasen og har kunnet lave et offline brute force-angreb og har knækket en brugers kode, som følger sådan en formel, hvor de næste koder er lette at forudse, så hjælper det ikke, at man har tvunget brugerne til en dårlig password-skik ved at kræve hyppige skift.
Det er heller ikke sikkert, at det er specielt sikkert at kræve jævnlige skift af kodeordene. Det logiske argument er, at man kan forhindre brute force-angreb med automatisk lås og automatisk oplåsning, som gør sådan et angreb upraktisk på grund af tidsfaktoren.
Kravet om at skifte jævnligt er en tilføjelse, som skal forhindre, at en angriber kan misbruge et kodeord, som på én eller anden måde er blevet opsnappet. Imidlertid dur den strategi kun, hvis angrebet finder sted, efter brugeren har skiftet kodeordet.
Et spilteoretisk forsøg, som Microsoft har udført, viser, at kodeordsskift med faste intervaller er en dårlig strategi. Hvis det skal have en virkning, så skal kodeordene skiftes med varierende intervaller, som en angriber ikke kan forudse.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
