¿Obligar a los usuarios a cambiar sus contraseñas con más frecuencia realmente equivale a una mayor seguridad?

Las contraseñas se han utilizado durante mucho tiempo para demostrar la identidad y autenticar el acceso de los usuarios a los recursos. A medida que ha pasado el tiempo, para aumentar la seguridad, hemos hecho que los requisitos de contraseña sean más complejos y que sea necesario cambiar las contraseñas con frecuencia.

Sin embargo, en la búsqueda de una mayor seguridad hemos ignorado el hecho mismo que hizo que la seguridad basada en contraseñas fuera preferible a otros enfoques: su simplicidad.

Solicitar contraseñas cada vez más complejas y luego obligar al usuario a cambiarlas con frecuencia socava el principio fundamental en el que se basa la seguridad de las contraseñas. Obligar a los usuarios a producir un mayor volumen de contraseñas cada vez más complejas a menudo significa que las contraseñas no se recuerdan tan fácilmente y muchos usuarios tienen que recurrir a anotar la contraseña, que luego puede verse comprometida fácilmente.

Entonces, ¿deberíamos obligar a los usuarios a cambiar sus contraseñas?

El otro día estaba escaneando diferentes foros de usuarios en busca de la respuesta y encontré este hilo en Spiceworks. Los administradores de TI de todo el mundo parecen estar divididos sobre este asunto, mientras que muchos expresan reservas sobre la eficacia de obligar a los usuarios a cambiar las contraseñas, hay otros que lo defienden. Aquí he recopilado las respuestas más importantes de estos administradores para brindarle una descripción general de las opiniones:

• El cambio de contraseña es impulsado desde el exterior por cumplimientos como HIPAA, PCI, etc. y socava la seguridad ya que los empleados se ven obligados a arriesgar la seguridad al escribir contraseñas para recordarlas. Cambiarlo una vez cada 6 meses a un año es adecuado.
• Obligarlos a cambiar contraseñas con frecuencia sólo les hace utilizar trucos que pueden hacerles tropezar, por lo que la actualización de una contraseña sólo debe realizarse cuando sea específicamente necesario. Por ejemplo, cuando cree que le han robado la contraseña o si sospecha que alguien ha iniciado sesión en su nombre.
• El valor predeterminado de Windows de 42 días antes de solicitar un cambio de contraseña es demasiado corto y debe cambiarse a 180 días. Cuando los auditores los confronten, se les debe decir que los usuarios no tomarán en serio el cambio frecuente de contraseña, ya que lo simplificarán a su manera (¡Contraseña!23) o lo anotarán en alguna parte.
• Existe un doble rasero al tratar con las contraseñas. Si bien cualquier cosa personal, como la contraseña de una cuenta bancaria, se maneja con sumo cuidado, las contraseñas de escritorio de oficina se abordan de manera más informal. Por ejemplo, las personas gritan su contraseña al informático que se acerca a su escritorio o la escriben en una nota adhesiva en su pantalla. Cambiarlo periódicamente anula las posibilidades de acceso no autorizado.
• ¿Estamos innovando lo suficiente? ¿Por qué no podemos tener una política diferencial donde se evaluará cada contraseña y en función de su complejidad se pedirá a los usuarios que la cambien con mayor o menor frecuencia? Por ejemplo, si utiliza una paráfrasis muy compleja, puede darse el lujo de cambiarla dos veces al año, pero para aquellos tipos de "Contraseña!23 ", debe hacerlo con más frecuencia.

Según las respuestas de los administradores de TI, parece que, aunque obligar a los usuarios a cambiar sus contraseñas no es garantía de seguridad, los administradores siguen esta práctica para garantizar la seguridad de la red de Windows, ya que no tienen otra opción. La autenticación biométrica, como el inicio de sesión basado en huellas dactilares, puede exigir una inversión adicional, pero no sólo es más segura sino que también reduce las llamadas al servicio de asistencia técnica, por lo que puede resultar económica a largo plazo. Hasta entonces parece razonable pedir a los usuarios que cambien su contraseña a intervalos más prudentes.