Đa số các quản trị viên hiện tại bắt buộc người dùng đổi mật khẩu theo chu kỳ, khoảng 30, 60 hoặc 90 ngày. ZDNet dẫn lời CESG, nhánh bảo mật IT của công ty nghiên cứu GCHQ cho biết, điều này không thực sự có ích, vì các mật khẩu bị đánh cắp thông thường bị lợi dụng ngay lập tức.
Họ đề nghị các tổ chức ngưng bắt người dùng đổi mật khẩu thường xuyên, đồng thời cũng giảm bớt các yêu cầu rắc rối như độ dài, ký tự đặc biệt, vốn gây khó nhớ kể cả cho người dùng.
“Mặc dù chúng ta có thể làm thế với vài mật khẩu, nhưng sẽ không có cách nào quản lý cả tá mật khẩu mà chúng ta dùng trong cuộc sống ảo”.
 |
Nếu một người dùng bị bắt đổi mật khẩu thường xuyên, thông thường họ sẽ chọn một thứ gì đó chỉ hơi khác với mật khẩu trước, hoặc một mật khẩu cũ, yếu hơn đã được dùng ở đâu đó. Các động thái này dễ bị lợi dụng, hacker rất dễ mò ra mật khẩu hiện tại nếu họ đã có các mật khẩu cũ.
Các mật khẩu bị đổi nhiều thường phải được viết lại hoặc bị quên đi, gây mất năng suất với người dùng và phiền phức cho bộ phận quản lý mật khẩu khi họ phải tạo lại mật khẩu mới.
“Đây là một viễn cảnh khá khác với dự đoán. Người dùng càng bị bắt đổi mật khẩu, họ lại càng dễ bị tấn công. Một lời khuyên từng được cho là hoàn hảo và lâu đời, hóa ra lại không vượt qua được bài kiểm tra toàn hệ thống”, CESG cho biết.
Hạn chế đổi mật khẩu sẽ giảm những nguy cơ kể trên, đồng thời không tăng khả năng bị khai thác mật khẩu trong thời gian dài, theo CESG.
Họ nói thêm, việc dùng các mật khẩu thường gặp cũng nên đi đôi với điều chỉnh đăng nhập, theo dõi và báo cáo với người dùng những lần đăng nhập đáng nghi ngờ.
CESG không phải tổ chức duy nhất lên tiếng cảnh báo điều này. Lorrier Cranor, Trưởng đội Kỹ thuật tại Ủy ban Thương mại Liên bang Mỹ nêu quan điểm tương tự: “Các nghiên cứu chỉ ra rằng việc bắt thay đổi mật khẩu liên tục là bất tiện và gây khó chịu cho người dùng nhưng không có nhiều lợi ích bảo mật như chúng ta thường nghĩ, thậm chí khiến người dùng gặp nhiều nguy cơ hơn”.
