Microsoft ha annunciato dei cambiamenti in arrivo alle linee-guida per gli amministratori che si occupano della sicurezza di sistema di Wndows 10. Cambiare regolarmente password non è più indicato tra le policy suggerite come impostazioni per le organizzazioni.
Attualmente Microsoft prevede nei criteri di sicurezza la validità massima di 60 giorni per le password, impostazione che determina il periodo di tempo (in giorni) entro i quali una password può essere usata prima che il sistema richieda all’utente di modificarlo. In questo modo, un utente malintenzionato ha una quantità limitata di tempo in cui compromettere la password dell’utente e che hanno accesso alle risorse di rete.
La necessità di cambiare con troppa frequenza la password, porta gli utenti a ridurre la sicurezza, spiega l’azienda. “La scadenza periodica delle password è una tecnica di mitigazione obsoleta, di valore molto modesto, e riteniamo che non sia più opportuno per le nostre linee-guida imporre un valore specifico. Rimuovendo l’indicazione dalle nostre linee guida piuttosto che raccomandare un particolare valore o nessuna scadenza, consente alle aziende di scegliere ciò che più si adatta alle loro sentite esigenze, senza contraddire la nostra guida di riferimento”.
Microsoft giustifica la sua decisione spiegando che vi sono altre priorità e che questa misura non è più efficiente e, anzi, potrebbe portare anche all’effetto opposto. “Quando le persone sono costrette a cambiare frequentemente le password, spesso apportano piccole e prevedibili modifiche alle password esistenti o possono dimenticarle”, spiega Aaron Margosis, un consulente Microsoft. Se il nostro account utente è protetto da una password del tipo: “Pippo19-01”, e cambiamo periodicamente la password usando frasi tipo “Pippo19-02”, “Pippo19-03” e così via, non sarà difficile indovinare quale sarà la password successiva. Il cybercriminale di turno potrebbe arrivarci da solo o sfruttare tecniche di forza-bruta per ottenere quello che desidera.
Oltre a cambiamenti nelle policy delle password, Microsoft ha anche previsto delle novità per BitLocker, la funzione che consente di cifrare interi dischi. Per la crittografia dei dispositivi secondo Microsoft sono sufficienti algoritmi a 128 bit; in precedenza l’azienda suggeriva algoritmi di crittografia a 256 bit ma questa impostazione poteva portare ad un degradamento delle prestazioni.
Anche Apple propone agli amministratori guide alla configurazione per la sicurezza indicando funzioni di macOS e iOS che è possibile utilizzare per proteggere al meglio il sistema secondo un processo noto come “hardening del dispositivo”. A questo indirizzo un nostro articolo con vari dettagli sulla sicurezza di macOS.
