اخیرا شرکت مایکروسافت تصمیم گرفته تا سیاست‌های انقضاء پسورد Windows را کنار بگذارد چرا که مجبور کردن مردم به تغییر پسورد‌هایشان به صورت دوره‌ای، امنیت را به خطر می‌اندازد. با انتشار پیش نویس پیکربندی امنیتی پایه‌ای تنظیمات Windows 10 نسخه 1903، اخبار این موضوع از Redmond انتشار یافت. این انتشار که به صورت فایل فشرده در حالت Spreadsheet، فایل‌های پیکربندی و دیگر اقسام اسناد قابل دانلود است شامل شماری از تغییرات اساسی در تنظیمات امنیتی نسبت به نسخه‌های پیشین Windows 10 و Windows Server 2019 می‌باشد.
این تغییرات شامل ویژگی‌هایی مثل اضافه شدن یک تنظیم برای App Privacy است که مانع از آن می‌شود که کاربران زمانی که سیستم قفل است، بتوانند از طریق صحبت کردن با برنامه‌ها تعامل داشته باشند. مایکروسافت همچنین در حال کنارگذاشتن روش به‌خصوصی از رمزگذاری درایو Bitlocker و تنظیمات قدرت رمزنگاری است که پیش از این احتیاج به رمزگذاری 256 بیتی داشت و الان به صورت پیش‌فرض 128 بیتی است. دلیل این امر به نقل از مایکروسافت آن است که: «متخصصان رمزنگاری اعلام کرده اند که هیچ خطر شناخته شده‌ای در مورد شکسته شدن آن در آینده‌ی نزدیک وجود ندارد.»
تغییر رمز عبور و ارتقاء امنیت؟
جالب است بدانید که کنارگذاری تنظیم مجدد رمز عبور به صورت دوره‌ای در ویندوز بسیار مورد استقبال عمومی قرار گرفته است. برای توجیح این تغییرات، مایکروسافت به تحقیق اخیر در رابطه با کاربردی بودن سیاست انقضاء پسورد اشاره کرده است. گمان می رود که منظور از محققان شرکت مایکروسافت، تحقیقات انجام شده در سال 2010 توسط دانشگاه کارولینا شمالی در چپل هیل، باشد. این تحقیق نشان می‌دهد که سیاست‌های انقضاء پسورد، باعث کاهش امنیت می‌گردد چراکه رمزهای عبور جدید معمولا بر پایه پسوردهای قدیمی هستند. همچنین این تحقیق نشان دهنده آن است که پسوردهای نگاشته شده توسط انسان معمولاً بسیار ضعیفتر از آن است که در مقابل حملات Brute Force مقاومت کند. اما این موضوعی مجزا در مورد نارسایی کلی پسوردهاست که اخیراً به مدد کلیدهای سخت افزاری احراز هویت به آن پرداخته شده است.
به هر حال مایکروسافت متوجه شد که این سیاست‌های انقضاء پسورد بیشتر از سودآور بودن، زیان آور هستند. هارون مارگوسیس مدیر مشاور گروه امنیت سایبری مایکروسافت در پستی در بلاگ Microsoft’s Security Guidance این چنین می‌گوید: «وقتی انسان‌ها مجبور به تغییر رمز عبورشان می‌شوند، اکثر اوقات تغییری کوچک و قابل پیش‌بینی در پسوردشان می‌دهند و یا پسورد جدید را فراموش می‌کنند.»
تبعات تغییر رمز عبور ویندوز
این به آن معنی نیست که مایکروسافت می‌خواهد جلوی شرکت‌هایی که قصد اجرای سیاست انقضاء پسورد را دارند بگیرد و مشترکین ویندوز همچنان می‌توانند به این کار ادامه دهند هرچند که بی‌هدف و آزار‌دهنده است. با این حال با پاک کردن انقضاء پسورد از نسخه پایه‌ای ویندوز، ممیزی‌های انطباق (Compliance Audits) دیگر انحرافاتی که از نسخه پایه انتظار می‌رود را علامت گذاری نمی‌کنند.
مارگوسیس می‌گوید: «انقضاء دوره‌ای پسورد، اقدام حفاظتی بسیار قدیمی و بی‌ارزشی است و ما باور نداریم که ارزشی برای Baseline ما داشته باشد تا به آن بهایی به‌خصوص بدهیم.» او همچنین گفت: «با پاک کردن آن از Baseline خود به جای پیشنهاد کردن یک ورودی خاص یا هیچ انقضاءای، سازمان‌ها می‌توانند هر انتخابی که به بهترین نحو جوابگوی نیازشان باشد را بدون تداخل با راهنمایی‌های ما اجرا کنند.»
