Windows 10 stöder två typer av konton. En är det klassiska lokala kontot som har funnits i alla tidigare Windows-versioner, det andra är det moderna Microsoft-kontot som är anslutet till företagets molntjänster. Innan Windows 10 version 1903 hade Microsoft konfigurerbara lösenordspolicyer för bättre säkerhet som går tillbaka till de tidigaste versionerna av Windows NT. Detta har förändrats.
Annons
Kort sagt, Microsoft har nu följande argument mot kontinuerlig lösenordsändring.
- Om ett lösenord har äventyrats bör det ändras direkt.
- Om ett lösenord inte komprometteras finns det ingen anledning att ändra det.
- Regelbunden lösenordsändring kan få användare att glömma sitt nya lösenord eller få dem att skriva ner det någonstans där lösenordet enkelt kan upptäckas.
I det officiella blogginlägget anges följande.
hur man skapar flera youtube-kanaler med en e-post
Varför tar vi bort policyer för lösenordsförfall?
För det första, för att försöka undvika oundvikliga missförstånd, pratar vi här bara om att ta bort lösenordsutgångspolitiken - vi föreslår inte ändrade krav på minsta lösenordslängd, historik eller komplexitet.
Periodiskt lösenords utgång är endast ett försvar mot sannolikheten att ett lösenord (eller hash) kommer att stulas under dess giltighetsintervall och kommer att användas av en obehörig enhet. Om ett lösenord aldrig blir stulet behöver du inte upphäva det. Och om du har bevis för att ett lösenord har stulits skulle du förmodligen agera omedelbart snarare än att vänta på att det löper ut för att åtgärda problemet.
hur man får robotar på oenighetOm det är givet att ett lösenord sannolikt kommer att bli stulet, hur många dagar är det acceptabel tid att fortsätta för att låta tjuven använda det stulna lösenordet? Windows-standard är 42 dagar. Verkar det inte som en löjligt lång tid? Jo, det är det, och ändå säger vår nuvarande baslinje 60 dagar - och brukade säga 90 dagar - för att tvinga frekvent utgång innebär sina egna problem. Och om det inte är givet att lösenord kommer att bli stulna, får du dessa problem utan fördel. Vidare, om dina användare är sådana som är villiga att svara på enkäter på parkeringsplatsen som byter en godisbar mot sina lösenord, kommer ingen policy för lösenordsutgång hjälpa dig.
Våra baslinjer är avsedda att vara användbara med minimal om någon ändring av de mest välskötta, säkerhetsmedvetna företagen. De är också avsedda att fungera som vägledning för revisorer. Så, vad ska den rekommenderade utgångsperioden vara? Om en organisation framgångsrikt har implementerat listor över förbjudna lösenord, flerfaktorautentisering, upptäckt av lösenord-gissningsattacker och upptäckt av avvikande inloggningsförsök, behöver de då löpande lösenordsutgång? Och om de inte har implementerat moderna begränsningar, hur mycket skydd får de verkligen från att lösenordet upphör?
hur man delar en instagramhistoria till min berättelseResultaten av baslinjeövervakningsskanningar mäts vanligtvis av hur många inställningar som inte uppfyller kraven: 'Hur mycket rött har vi i diagrammet?' Det är inte ovanligt att organisationer under revisionen behandlar efterlevnadsnummer som viktigare än verklig säkerhet. Om en baslinje rekommenderar 60 dagar och en organisation med avancerat skydd väljer i 365 dagar - eller utan utgång alls - kommer de att bli onödiga i en granskning och kan tvingas följa 60-dagars rekommendationen.
Periodiskt lösenordsförfall är en gammal och föråldrad lindring av mycket lågt värde, och vi tror inte att det är värt det för vår baslinje att genomdriva något specifikt värde. Genom att ta bort det från vår baslinje snarare än att rekommendera ett visst värde eller ingen utgång kan organisationer välja det som bäst passar deras upplevda behov utan att motsäga vår vägledning. Samtidigt måste vi upprepa att vi starkt rekommenderar ytterligare skydd även om de inte kan uttryckas i våra baslinjer.
Så lösenordsutgångspolicyerna avskaffas från och med Windows 10 version 1903. Denna ändring påverkar inte andra lösenordspolicyer, inklusive policyerna för längd och komplexitet.
Du kan granska ändringarna här: Säkerhetsbaslinje (DRAFT) för Windows 10 v1903 och Windows Server v1903
Se följande artiklar:
- Återställ Windows 10-lösenord utan att använda tredjepartsverktyg
- Alla sätt att ändra användarlösenordet i Windows 10
- Så här använder du lösenordsfria konton för att logga in på Windows 10
- Förhindra att Windows 10 synkroniserar lösenord mellan enheter
- Förhindra att användare ändrar lösenord i Windows 10
- Så här tar du bort användarlösenordet i Windows 10
