Fine grained password policy - oder Alternativen?

Hi,

da jetzt doch der Wunsch nach komplexeren Passwörtern aufgekommen ist, frage ich mich ob eine Alternative zu Empfehlen ist oder die FGPPs eine gute Wahl sind.

FGPPs können zum Beispiel nicht gegen Passwortlisten checken oder spezielle Wörter.

Bei einer Alternativen Lösung hab ich etwas Bedenken, da es doch recht essenziell ins AD eingreift.

Sind diese Bedenken unbegründet? Gibt es Empfehlungen?

Sg Dirm

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 53042234245

Url: https://administrator.de/contentid/53042234245

Ausgedruckt am: 23.11.2024 um 08:11 Uhr

7 Kommentare

Neuester Kommentar

Moin,

mal was "offizielles" zum lesen:

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Checklisten/sichere_ ...
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Infor ...

Gruß

Hi,

Du meinst, wenn lange genug, dann reicht FGPP?

Aber wie verhindert man 3 mal den Firmennamen?

Sg Dirm

mit dem Aufkommen der Quantencomputer vertausendfacht sich die Rechenleistung für bestimmte Prozesse, unter anderem Brute Force Attacken.

mittelschwere Passwörter mit MFA kombinieren ist aktuell eher der Trend. User mit allzu strengen Passwordrichtlinien zu nerven treibt diese am Ende dazu, Passworter wieder aufzuschreiben oder als Barcode auszudrucken (man glaubts nicht aber schon so bei einem großen Chemiekonzern so gesehen).

Hier was Kostenloses, was mit aktuellen AD-Serverversionen bis 2022 funktioniert: https://github.com/lithnet/ad-password-protection
Kostenlosen Support gibt es jedoch nicht, den muss man kaufen.

Als Alternative würde ich jedem eine SmartCard+PIN nahelegen.

Also 10 Zeichen mit Komplexität im AD aktivieren.

Dann User Schulungen zur Passwort sicherheit machen.
Nedeutet auch explizit erklären warum Firmenname1234 kein sicheres PW ist.
Und per Arbeitsanweisung auch klar machen welche PWs nicht verwendet werden dürfen.
z.B. auch doof Projektnamen, Kundennamen, Produktnamen etc....

Das ganze noch abrunden mit Infos wie lange man jeweils zum hacken für welches PW braucht usw...

ODER MFA einführen, und ab da kann man auf PW ändeurngen dann auch verzichten...