系统访问策略何时开始成为安全事件的来源？

Question

假设我们处理的是处理秘密信息的系统，这对组织的存在至关重要。我想知道什么是安全需求和可用性之间的良好平衡，当涉及到密码复杂性，密码更改策略，多认证因素的要求等.

这一主题有最佳实践吗？

我知道有几种情况可能因为一项严厉的政策而危及安全：

• 写下密码，因为它们要么是很难记住，要么是因为你必须经常修改它。
• 故意让PKI卡在笔记本电脑，即使无人看管。
• 也用纯文本保存密码。更糟糕的是，当他们使用Excel文件向黑客提供庞大的用户菜单和密码时。

Answer 1

许多组织都面临这一问题，员工是安全方面的“最弱环节”。总的来说，基于密码的身份验证已经证明是一个空白。不能合理地要求员工记住每个月必须更改的11个或12个密码。我们最近在我的组织中遇到了这个问题，并得出了一些结论。

1. 双因素身份验证加上单点登录解决方案(SSO)将使员工更快乐，并减少多个独立密码条目的风险。
2. 对于双因素身份验证，媒体设备(如闪存驱动器)并不是最好的形式，但它总比没有好。员工们会很不幸地把他们留在自己的工作站上。一种更强大的双因素形式将是实现蜂窝验证(Duo提供此功能)。当用户尝试登录时，他们将被要求检查他们的手机。如果这是一款智能手机，并带有Duo应用程序，那么在他们的任务栏中会出现一个通知，请求批准登录。如果没有，则可以将文本消息传递功能用于访问代码。这也可以用于办公电话(这不是最好的选择，但需要攻击者在员工办公桌上进行实际操作)。
3. 如果您要使用非常强的双因素身份验证，SSO必须防止员工变得过于激动。双因素身份验证应该配置为密码库，其中包含用于SSO的浏览器插件，并存储用于检索的其他密码，允许此解决方案与不支持SSO方法的应用程序一起工作。在我们的研究中，LastPass和AuthLite提供了这些选项。它们还具有管理员工密码更改的功能，在过期后自动更改员工密码。由于密码是系统生成的，它消除了密码重复使用的头痛。

最后，我们使用了一个密码库，它提供了SSO功能和闪存驱动器双因素身份验证(出于成本考虑)来访问员工保险库。