因此，我设法将服务上的密码更改为“错误”密码，为简单起见，假设我将其更改为不安全的密码。
现在，我想将其更改为更安全的密码，但我收到了一条很好的错误消息：
您输入的密码不符合最低安全要求。
有趣的是，考虑到这个新密码比上一个密码使用了更多的字母、更多的数字和更多的特殊字符。
我做了一些研究，发现我使用的服务有一个安全规则，你必须等待 24 小时才能再次更改密码。
我问我的提供商是否可以更改该链接的已接受答案，但他们说他们不能这样做，并且 24 小时等待是“出于安全原因”。
这导致了我的问题。
等待 24 小时再次更改密码如何安全？让用户在再次更改密码之前等待的优点/缺点是什么？
每天只允许更改一个密码的规则本身并没有增加安全性。但它通常是在另一条规则之外的，即新密码必须与 n 个（通常为 2 或 3）个以前的密码不同。
每天更改一次规则是为了避免这种微不足道的变态：
好的，规则可能是一天内多次更改密码不会滚动最后一个密码列表。但不幸的是，前者内置在许多系统中，而后者不是......
换句话说，这只是强迫非合作用户及时更改密码的一种尝试。
在评论说允许用户永不更改密码不是安全问题之后，只是一个简单的概率分析。假设您有一个相当严肃的用户，并且他的密码在一天内被泄露的风险是 1%。假设每月大约有 20 个工作日，那么在一个季度内被攻陷的风险约为 50% (1-(1- 1/100)^60))。一年后（200 个工作日），我们达到了 87%！好吧，1% 可能很高，从每天 0.1% 开始，只有 1000 分之一，可以忽略不计，不是吗？但是在 1 年（200 个工作日）之后，开始受到攻击的风险几乎是 20%（老实说是 18%）。如果它是假期照片的密码，我不在乎，但对于更重要的事情，它确实很重要。
这意味着重要的是教育用户并让他们接受规则，因为我们都知道规则很容易被绕过，如果用户不同意他们就不会合作。但是要求用户定期更改密码是一项基本的安全规则，因为密码可能会在用户没有注意到的情况下被泄露，唯一的缓解方法是更改（可能被泄露的）密码。
其他答案涵盖了可能的安全优势，但是我遇到了一个重大缺点：如果攻击者控制了帐户并更改了密码，则可以保证他们至少有 24 小时的访问窗口，在此期间合法用户无法重新获得对其的访问权限帐户并锁定攻击者。
更糟糕的是，通过每 24 小时更改一次密码，他们可以无限期地继续保持访问权限，除非用户对他们的时间非常幸运。
在分布式系统上更改密码之类的内容时，更改可能需要一段时间才能生效。如果多个更改请求可能同时挂起，则需要额外的代码复杂性以确保它们都被正确解析，特别是如果请求需要包含有关旧密码和新密码的信息[不一定包括任何一个，但可能只包括一些“delta”的形式]。此类问题并非不可克服，但如果要求任何密码更改在发布另一个密码之前有机会渗透到系统中是可以接受的，那么这可以避免显着的复杂性。
我认为当他们说这是出于安全原因时，它的定义是正确的。
假设如果有人入侵了您的帐户，那么您应该会收到某种通知，表明已检测到从新设备或工作场所登录。在这些条款中，此安全功能将完全取决于跟踪您的问题的支持人员，如果他们响应足够快，您将根据他们的安全策略获得一个新的更改密码，以防被黑客入侵。
但我们也可以假设这不是最佳策略，因此如果您想再次更改密码，如果他们保持至少 24 小时的最短时间，他们应该施加更多限制。