تغییر رمز عبور؛ یکی از قوانین قدیمی که اشتباه است

محل کار یا دانشگاهتان احتمالا از شما خواسته‌اند که هرچند ماه یک‌بار رمز عبور حساب کاربری‌تان را تغییر دهید تا با خطر هک شدن مواجه نشوید. این پیشنهاد امنیتی است که در حال حاضر می‌شود در سایت‌ها و منابع آموزشی مختلفی آن را مشاهده کرد، هرچند به تازگی مشخص شده که این عمل کاملا اشتباه است.

تکنسین ارشد کمیسیون تجارت فدرال، لوری کرینر، هفته گذشته در کنفرانس مربوط با امنیت که در لاس وگاس برگزار شده بود به این موضوع اشاره کرد.

به نظر می‌رسد که درخواست مداوم برای تعویض رمز عبور باعث می‌شود کاربر از رمز عبورهای به مراتب ناامن‌تر استفاده کند. علت آن نیز بسیار ساده است، وقتی از کاربران خواسته می‌شود تا رمز عبور خود را تغییر دهند آنها سعی می‌کنند با تغییر بسیار جزئی در رمز عبور قبلی خود یک رمز عبور جدید بسازند.

اصولا کاربران در چنین شرایطی حروف کوچک را بزرگ می‌کنند یا سعی می‌کنند به انتهای رمز عبور قبلی یک کاراکتر جدید اضافه کنند. محققان این روش را «دگرگونی» نامیده‌اند و متاسفانه هکرها نیز از این شیوه باخبر هستند.

پس به بیانی ساده‌تر، هکرها در صورت داشتن پسورد قبلی شما به صورت پیش‌فرض دگرگونی رمز عبورتان را به روتین هک کردن خود اضافه می‌کنند تا در صورتی که تغییر جزئی به رمز عبور جدید خود داده باشید بتوانند به حساب کاربری‌تان دسترسی پیدا کنند. لوری کرینر در این مورد گفته است:

محققان UNC می‌گویند اگر مردم نیاز به تغییر رمز عبور خود در هر ۹۰ روز داشته باشند برای اینکه پسورد خود را فراموش نکنند مجبورند از یک الگو استفاده کنند که ما آن را دگرگونی می‌نامیم. کاربران با اعمال تغییر اندکی به رمز عبور فعلی خود سعی می‌کنند رمز عبور جدیدی بسازند که اصولا هدف از این کار فراموش نکردن رمز عبور است.

گفته‌های کرینر با استناد به تحقیقات سال ۲۰۱۰ سازمان UNC بوده که روی مجموعه داده‌های ۷۷۰۰ حساب کاربری مطالعه شده است. در این تحقیقات، کاربران باید رمز عبور خود را به طور منظم تغییر می‌دادند.

متخصص امنیت، بروس اشنایر نیز با گفته‌های کرینر هم عقیده است:

من سال‌ها است که می‌گویم این توصیه‌ی بدی بوده و از نظر امنیتی خطر آفرین است و سبب می‌شود تا رمز عبورهای ضعیفی ساخته شوند.