Sistema institucional de TI para troca de senha a cada três meses
comentada em 29/07/2023 10:58

Na minha experiencia com setor publico, ainda se usa estabilizador nos computadores. Então por aí tu vê o nível de familiariedade da coisa com tecnologia...

Boas praticas compiladas após anos de observação! Não resolve nada, porém aumenta sim o nível de segurança!

Só o que importa Ver mais

Com todo respeito, isso é irrelevante se você não possui credencial pra tomar a decisão de mudar o sistema de segurança institucional.

Já que provavelmente você não tem esse controle, podemos pensar em algo que facilite sua vida pra essa sua demanda específica, acho que vai ser mais útil do que uma discussão sobre a usabilidade desse tipo de sistema, por que isso não vai te melhorar ou facilitar a vida.

Uma sugestão que consigo pensar é usar um gerenciador de senhas, como o Bitwarden. Coloque essa sua senha principal como a "senha mestra", e quando o sistema pedir troca, gere uma senha aleatória e substitua a senha antiga por essa nova no gerenciador, e pronto. Você usa a mesma senha sempre e cumpre o protocolo do trabalho.

Meu estagiário veio postar aqui que no meio da minha senha tem um 01 que quando pede p mudar eu mudo p 02, 03, 04.... 

Tenho a mesma opinião. Na empresa que trabalho eles exigem uma senha de pelo menos 20 caracteres (uma frase), mas uso a mesma há anos...
Lembro que quanto tinha que trocar sempre no fim era a mesma senha e só trocava o numero no final ou anotava em papel, bem pior

Isso vem dos tempos que cada sistema tinha uma senha e se presumia que o usuário compartilhava senhas de forma informal. Hoje em dia com SSO e segundo fator a pessoa só tem uma senha na empresa e nunca compartilha... Logo não tem necessidade de trocar e nem de usar gerenciador de senhas

Essa regra vem da ISO 27001, que muitas empresas e ONREVOGs seguem/precisam seguir para auditoria ou certificação.
A ISO 27001 está em fase de revisão inclusive. Vamos ver como virá o novo padrão

A melhor prática é você usar essa senha que você tem na cabeça para o gerenciador de senhas. Todo o resto você usa as senhas aleatórias geradas pelo gerenciador.

O porque disso é muito simples: se vazar alguma das tuas senhas, desde que não seja a do gerenciador de senhas, todo o resto não fica comprometido.

Para aprimorar ainda mais a segurança, você pode também adicionar 2FA.

Não sei se isso é só do setor público, aqui começaram a fazer isso por imposição contratual da empresa fornecedora dos serviços. 

postado por @fuderosodaesquina em 28/07/2023 11:11

Meu estagiário veio postar aqui que no meio da minha senha tem um 01 que quando pede p mudar eu mudo p 02, 03, 04.... 

faço a mesma coisa kkkk

Acho que está mais próximo da primeira opção.

postado por @Dogoncio em 28/07/2023 11:07

Na minha experiencia com setor publico, ainda se usa estabilizador nos computadores. Então por aí tu vê o nível de familiariedade da coisa com tecnologia...

É um grande atrativo a estabilidade no emprego.

Tb sou obrigado a trocar a cada 3 meses.

No sistema que utilizo, também não é possível utilizar as últimas 3 senhas.

Então, no dia do vencimento, gero 3 senhas aleatórias e faço a alteração 3 vezes consecutivas e na quarta volto para a minha senha padrão. Utilizando o "BUG" ao meu favor.

Essa é uma prática da indústria, nao se restringe ao serviço público.

Apesar de que o que é  considerado mais eficiente hoje em dia ser a autenticaçao de multi fatores, onde o usuário tem que prover algo que só ele sabe (por exemplo uma senha) e algo que só ele tem (por exemplo, um celular verificado ou uma impressao digital) e até mesmo autenticaçao sem senha, por biometria, por exemplo, a mudança periódica de senha tem benefícios teóricos, abaixo alguns deles segundo um site que encontrei:
LIMITES DE VIOLAÇÕES PARA MÚLTIPLAS CONTAS -> se vc usa senhas diferentes para contas diferentes, vc dificulta a vida do hacker que por ventura encontrou um meio de obter sua senha em uma aplicacao especifica

EVITA O ACESSO CONSTANTE -> caso vc tenha sofrido um roubo de senha, quando vc a troca, o hacker nao terá mais como acessar sua conta

EVITA O USO DE SENHAS SALVAS -> caso uma senha antiga que vc usava ha anos seja descoberta, ao trocar regularmete o hacker terá uma senha inútil pra ele

LIMITA O ACESSO OBTIDO POR KEYSTROKE LOGGERS -> programas que ficam lendo o que tecla podem dar ao hacker sua senha e quando vc a troca, ele perde acesso a sua senha

Benefits of Changing Your Password Regularly

Aqui uma tabela interesante sobre a segurança das senhas:

Coisa do ONREVOG. Padrão isso ai.

 

postado por @Rekz em 28/07/2023 11:10

Só o que importa Ver mais

Com todo respeito, isso é irrelevante se você não possui credencial pra tomar a decisão de mudar o sistema de segurança institucional.

Já que provavelmente você não tem esse controle, podemos pensar em algo que facilite sua vida pra essa sua demanda específica, acho que vai ser mais útil do que uma discussão sobre a usabilidade desse tipo de sistema, por que isso não vai te melhorar ou facilitar a vida.

Uma sugestão que consigo pensar é usar um gerenciador de senhas, como o Bitwarden. Coloque essa sua senha principal como a "senha mestra", e quando o sistema pedir troca, gere uma senha aleatória e substitua a senha antiga por essa nova no gerenciador, e pronto. Você usa a mesma senha sempre e cumpre o protocolo do trabalho.

Concordo com você, realmente eu não tenho "controle" sobre essa mudança de política... Mas, tem alguns problemas aí que eu tenho que resolver, rs

Por exemplo, eu sou gestor da minha equipe e já passamos por alguns problemas de esquecer a senha, ter que ligar no setor competente e pedir alteração, o pessoal que trabalha comigo é mais velho que eu (sou gestor e o mais novo da equipe, rs) e, dito isto, não sei se PRA ELES seria viável esse gerenciador de senhas, mas, pra mim, com certeza vou começar a fazer os testes hj...

Eu não posso MUDAR exatamente a política, mas, temos canais que podemos propor melhorias, alterações de políticas etc.

Não estou falando que vão me ouvir, mas, é um canal aberto para propor melhorias...

Enfim, vou testar esse gerenciador, valeu mesmo!

postado por @fuderosodaesquina em 28/07/2023 11:11:58

Meu estagiário veio postar aqui que no meio da minha senha tem um 01 que quando pede p mudar eu mudo p 02, 03, 04.... 

Eu fazia a mesma coisa nos meus tempos de petrobomba, peguei essa dica com um veterano da casa. Passei seix anos usando as mesmas der senhas

postado por @oExtraTerrestre em 28/07/2023 11:32:58

Tb sou obrigado a trocar a cada 3 meses.

No sistema que utilizo, também não é possível utilizar as últimas 3 senhas.

Então, no dia do vencimento, gero 3 senhas aleatórias e faço a alteração 3 vezes consecutivas e na quarta volto para a minha senha padrão. Utilizando o "BUG" ao meu favor.

criatividade do ser otomanoBrunoSGOrigem do Selo7 posts

Basttein gêniointOrigem do Selo45 posts

postado por @Charlito em 28/07/2023 11:29:37

É um grande atrativo a estabilidade no emprego.

eu entendi a referênciamonkeOrigem do Selo38 posts

postado por @bionder em 28/07/2023 12:38

Mitiga o risco de ter sua senha vazada, brute force de senha, melhores práticas de segurança da informação, etc.. Existem diversas auditorias para ter determinadas certificações empresarias que cobram isto também.
E eu sei que vocês anotam a senha no bloco de notas do computador da empresa.

Menos a senha de login. Essa eu deixo num post-it colado no monitor.

Engraçado é que 90% concordaram que é inútil e só levei voadora, hahaaha

Obs.: é zuera, eu fiz e já esperava as voadoras.

A maioria das pessoas não entende o que está fazendo, o pq das coisas e, estimulada pela preguiça, procura o caminho de menor esforço.

Um exemplo que vi há alguns dias. Fala-se muito em 2FA, algo que você sabe com algo que você tem. Pois bem, o indivíduo portava um token com certificado digital e, preso a ele por um chaveirinho, a senha que teoricamente só ele sabe

Infelizmente essa prática é norma do ONREVOG federal, teriam que mudar isso.

Microsoft e Google já adotaram a ideia de se livrar de senhas, no mundo corporativo quem domina é Windows, que já disponibiliza login sem senha. 

Em uma página sobre política de senhas da Microsoft eles falam claramente sobre essa questão de mudar a senha a cada período:
Requisitos de expiração de senha para usuários

Os requisitos de expiração de senha causam mais danos que benefícios, porque fazem com que os usuários selecionem senhas previsíveis, compostas por palavras e números sequenciais intimamente relacionados entre si. Nesses casos, a próxima senha poderá ser prevista com base na senha anterior. Os requisitos de expiração de senha não oferecem benefícios de contenção, porque os cibercriminosos quase sempre usam credenciais assim que as comprometem.
Hoje dá pra logar com biometria, token, se o laptop tiver nfc dá pra utilizar o crachá.

Além da troca a cada três meses ainda pedem caracteres especiais, acabamos trocando uma frase de uns 30 caracteres, por uma senha de oito caracteres, porém com caracteres especiais, que é mais fraca.

postado por @Alea Jacta Est em 28/07/2023 16:11

Infelizmente essa prática é norma do ONREVOG federal, teriam que mudar isso.

Microsoft e Google já adotaram a ideia de se livrar de senhas, no mundo corporativo quem domina é Windows, que já disponibiliza login sem senha. 

Em uma página sobre política de senhas da Microsoft eles falam claramente sobre essa questão de mudar a senha a cada período:
Requisitos de expiração de senha para usuários

Os requisitos de expiração de senha causam mais danos que benefícios, porque fazem com que os usuários selecionem senhas previsíveis, compostas por palavras e números sequenciais intimamente relacionados entre si. Nesses casos, a próxima senha poderá ser prevista com base na senha anterior. Os requisitos de expiração de senha não oferecem benefícios de contenção, porque os cibercriminosos quase sempre usam credenciais assim que as comprometem.
Hoje dá pra logar com biometria, token, se o laptop tiver nfc dá pra utilizar o crachá.

Além da troca a cada três meses ainda pedem caracteres especiais, acabamos trocando uma frase de uns 30 caracteres, por uma senha de oito caracteres, porém com caracteres especiais, que é mais fraca.

É porque o mundo corporativo funciona assim, mesmo que o CTO/CIO concorde que trocar a senha a cada 3 meses é pior ele não vai tomar o risco de tomar essa decisão, não vale a pena. Ele segue o padrão de mercado (norma ISO aplicavel). Além do mais empresas de auditoria, clientes, seguradoras de ataques cibernéticos, ... tbm vão exigir algo na mesma linha.

Empresas que não exigem a troca periódica geralmente operam 100% em OAuth 2.0 + SSO + token físico, restringem o uso da senha corporativa somente em dispositivos corporativos e outros meios para evitar que a senha vaze ou seja capturada. Se um login estranho for detectado vc será alertado e a senha bloqueada...

Você precisa seguir várias normas de segurança até chegar no ponto de cumpri-las sem exigir a troca de senha periódica.

É como os carros, hoje em dia é fácil ter um carro autonomo, mas até aqui várias coisas acontecem por baixo dos panos para permitir isso (acelerador eletrônico, cambio automatico, direção hidraulica/eletríca, sensores de estacionamento, sensor de chuva, sensor de luminosidade, ...)

Aqui no meu orgao publico eles obrigam trocar apenas num sistema especifico, oq eu faço é trocar a senha varias vezes até permitirem trocar pela senha antiga q eu sei decorada xD