Microsoft正在更改Windows中密码过期策略的基准。 该建议是对以前要求用户定期更改其登录密码的政策的改进。
在公司针对Windows 10 v1903和Windows Server v1903的新安全性配置基准草案中，定期密码请求（例如，以预设时间间隔更改登录密码或建议的60天密码过期策略）将从其中删除 基线。 微软表示，最近的研究对长期存在的密码过期政策提出了质疑。 他们鼓励采取进一步的保护措施，以加强身份验证，并引用更好的替代方法，例如强制执行禁用密码列表。
Microsoft的首席顾问Aaron Margosis解释说，由于新密码通常基于旧密码，因此以前的安全做法导致安全性较弱。 通常，强迫定期更改密码的用户只会对现有密码进行微小且可预测的更改，甚至忘记新密码。
尽管Microsoft认为定期的密码过期是一种过时的安全措施，但该准则仅是建议的建议。 组织可以设置自己的安全实践，设置密码有效期限或根本不设置最适合其需求的密码。
Microsoft并不是唯一一家研究密码替代方案的科技公司。 例如，谷歌一直在测试插入计算机的USB密钥卡，并提供登录身份验证的第二个因素。 该公司报告说，这种方法减少了针对其员工的成功的网络钓鱼尝试。
国家标准技术研究院（NIST）也已修改了有关密码规则的指南，放弃了定期的密码更改和复杂性要求。 用户的最佳做法
弱密码通常用于恶意尝试，从基本的网络钓鱼攻击到复杂的黑客攻击活动。 例如，黑客已利用默认密码使用通用密码访问多个帐户。 这是获得未经授权的系统访问权限的简单而有效的方法。
除了禁止使用默认密码和容易猜到的密码外，组织还应在登录实践中采用两因素身份验证（2FA），包括将密码与另一种形式的标识（例如发送给用户的代码/数字）结合使用 电话。
敦促用户在任何可能提供2FA的网站上采用2FA，从网上银行到社交媒体网站和电子邮件帐户。 通常，站点在“安全性和隐私”设置中具有2FA选项，可以在其中启用对指定号码的登录验证请求。 此方法提示用户输入密码，以及每次登录该网站时发送给他们的代码。
[指南：如何在热门网站上设置2FA]
管理员还可以考虑采用对密码猜测攻击和异常登录尝试的检测。 还建议使用安全系统，例如硬件令牌和应用程序身份验证器。 最终，用户应优先使用强壮且唯一的密码。 避免使用已知包含在数据泄露和黑客活动中的密码，例如 123456，密码，或 qwerty。
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时候联系我们修改或删除，多谢