我目前正在考虑新的密码策略。最初我希望用户选择一个长度为 X 位的密码，包含数字、特殊字符、大小写……但后来我在朋友公司做了一些审核。他们在那里有这样的政策。我从他们的 Active Directory 中提取了密码哈希，并john使用修改规则破解了密码。当我选择使用为公司及其员工量身定制的词汇表时，许多密码都被破解了。他们都根据策略使用了有效密码，但最后使用名字、出生年份和随机特殊字符并不那么安全。
现在我正在考虑向每个用户发布一个他无法更改的随机密码。密码只有 10 位数字，但与我认为更安全的人没有任何关系。你认为这是一个很好的解决方案还是我错过了什么？
更新：两因素身份验证通常是一个很好的解决方案，但对我们不起作用。我们是一家小公司，实施两因素身份验证会带来相对较高的初始成本。
最佳密码策略：强大、受管理并保持安全。
强的
管理
安全的
这些技巧是密码安全的最佳方法，并且经常在企业级别上使用。
关于 2 个因素和一些问题：
当然，2 因素身份验证的选项经常被当作“为什么不直接使用 2 因素身份验证”而被抛弃。好吧，这实际上是有原因的：您可能应该使用处理敏感数据的帐户。哦，等等，还有一些陷阱：
对于其他所有人来说，这增加了一个物理层的身份验证，这会花费金钱、时间和设置，以及运行或租用服务来生成并保持身份验证同步。由于可能的联网和异地位置，如果处理不当，可能会遇到一些问题，并且随着时间的推移总是需要维护。更糟糕的是，丢失keygen是一个普遍的问题，因此需要在现场进行备份才能分发，如果在商务旅行中丢失，2因素会导致巨大的问题。然后培训他们如何使用它，并强迫他们仍然拥有安全密码。这需要很长时间才能运行（取决于公司的规模，这实际上可能会导致整个 IT 大修），并且需要专门的培训和专门维护它的员工。
长话短说：
实施安全密码，并与公司讨论密码政策和维护。然后提供 2 因素的选项（如果需要，可以在某些地方强制使用）。还要始终检查密码（手动或通过算法）以确认它们不容易破解或包含个人身份信息。这些最佳实践足以保证许多公司的安全。但是永远不要忘记密码只是网络安全的一部分。
至于给出随机密码......最初这很好，但最终需要轮换，如果是这种情况，那么你应该让他们选择，这样他们就可以更容易记住它。如果他们不记得，他们将一直无法登录，由于忘记密码，IT 负载将增加，然后将其写在便签上并丢失它们现在成为攻击媒介，或者将它们保存在具有弱密码的个人电子邮件中，各种不好的东西，等等。最好指导他们如何创建一个安全、长、强且易于记忆的密码，如下所示：
R4nD0ms7@Pl312eM0/312 是一款随机装订器。祝你好运一目了然，或者破解它。但是等等你已经记住了基地！
从表面上看，它似乎更安全 - 但我担心您可能会遇到人们将随机密码写在便利贴上并将其贴在计算机旁边的墙上的问题。您可以建议人们使用密码管理器，但最终 90% 的人会做他们想做的事。
根据您的交付方式，它也可能变得不那么安全。如果您将密码通过电子邮件发送给他们，那么这显然是一个问题，因为它以纯文本形式浮动。
另外——公司里的每个人都可能讨厌你。根据我的经验，人们讨厌自动生成的密码。这与安全性无关，但可能值得考虑。
总之 - 我不确定这是一个黑白的答案。密码本身可能会更安全，但还有我提到的其他问题需要考虑。
随机将不起作用，如果单一身份验证存在问题，请移至 2 因素。这样，如果有人能够通过哈希，你仍然有二级保护。长密码、过于复杂的密码以及过于频繁地更改密码，只会导致用户 A）在他们可以使用的每台设备上保存密码，并且 B）导致他们将密码写下来。
将密码策略保留在用户可以记住的范围内，并培训他们更好地使用密码，但 2 因素是您的安全选择。
请记住，如果用户正在获取用户哈希，则他们已经在受感染的系统上，因此只有在每次注销后还刷新每个用户配置文件的每个系统时，随机密码才会起作用。当用户必须为每次登录建立配置文件时，这会惹恼用户。如果您不这样做，即使使用随机，攻击者仍然有一个窗口来获得访问权限。
2 因素的胜利。
-追赶
如果用户确信他们的物理设备是安全的，为什么不使用基于令牌的安全性而不是密码呢？您可以在数据库表中跟踪令牌及其到期时间。如果您通过电子邮件向用户发送包含唯一且随机确认 URL 的消息，他们就可以开始迁移到此类系统的过程。当他们单击 URL 时，他们会获得一个加密安全令牌，该令牌以 cookie 或本地存储的形式保存到浏览器中。这样他们就不必再使用密码了，您可以使用 CSPRNG 生成令牌。对于不想假设他们的设备足够安全的用户，以及令牌过期的用户，只需再次通过电子邮件向他们发送确认 URL。无需密码。