Миф о смене паролей каждые 30 дней: почему NIST против, а админы страдают
Требовать от сотрудников менять пароли каждый месяц — лучший способ получить желтые стикеры на мониторах и пароли вида Весна2026!. Разбираем, почему стандарты NIST давно запретили принудительную ротацию и что реально защищает учетные записи.
Каждое первое число месяца офисы сотен компаний наполняются тихим скрежетом зубов. На экранах рабочих компьютеров всплывает системное окно:
> *«Срок действия вашего пароля истек. Введите новый пароль. Пароль должен содержать минимум 8 символов, заглавные и строчные буквы, цифры и спецсимволы, и не совпадать с предыдущими 12 паролями»*.
Сотрудник вздыхает, матерится сквозь зубы и вбивает: Vesna2026!.
Через тридцать дней он вобьёт Leto2026!.
Ещё через тридцать — Osen2026!.
А если фантазия иссякнет, на помощь придёт бессмертная классика корпоративной безопасности — жёлтый бумажный стикер с паролем, заботливо приклеенный на нижнюю сторону клавиатуры или прямо на рамку монитора.
Поздравляем: ваша корпоративная политика безопасности работает ровно наоборот. Вы не защитили компанию, вы сделали её взлом тривиальным.
---
Научный провал идеи «ротации каждые 30 дней»
Идея менять пароли по расписанию родилась в эпоху мэйнфреймов в 1980-х годах. Логика тогда казалась железной: если злоумышленник украл пароль, через 30 дней он протухнет, и доступ закроется сам собой.
Но авторы этой политики забыли учесть один ключевой фактор — человеческую психологию.
Многочисленные исследования Университета Карнеги — Меллона и Федеральной торговой комиссии США (FTC) доказали:
1. Люди не придумывают новые пароли. Они берут существующий корень и делают предсказуемую мутацию (меняют последнюю цифру, знак препинания или название текущего месяца).
2. Атакующие прекрасно знают эти алгоритмы. Программы для подбора паролей (Hashcat, John the Ripper) используют специализированные правила мутаций (rules). Если у хакера есть старый утекший пароль сотрудника Company2025!, новый пароль Company2026! вычисляется ровно за полторы секунды.
3. Парольная усталость (Password Fatigue). Вынужденные постоянно менять пароли пользователи начинают использовать один и тот же шаблон во всех личных и рабочих аккаунтах.
Принудительная частая ротация паролей математически снижает безопасность контура, а не повышает её.
---
Что рекомендует современный стандарт NIST SP 800-63B
Национальный институт стандартов и технологий США (NIST) — главный мировой авторитет в области стандартов кибербезопасности — ещё в 2017 году полностью переписал руководство по цифровой идентификации NIST Special Publication 800-63B.
Вот что в нём написано чёрным по белому:
1. Отменить периодическую смену паролей
Пароли не должны принудительно истекать каждые 30, 60 или 90 дней.
Пользователь должен менять пароль только в двух случаях:
- При первичном получении учетной записи;
- При доказанном факте компрометации (утечка, подозрительный вход).
2. Запретить бессмысленные требования к спецсимволам
Требование «обязательно одна цифра, одна заглавная и один спецсимвол» приводит только к тому, что все ставят заглавную букву первой, а восклицательный знак последним (Password1!). Это не добавляет энтропии.
3. Длина важнее сложности (Passphrases)
Пароль x&9#F! (6 символов) подбирается за 4 минуты.
Парольная фраза синий-трактор-едет-в-поле (26 символов) требует для перебора миллиарды лет, но при этом человек запоминает её с первого раза и без всяких бумажных стикеров. NIST рекомендует разрешать пароли длиной до 64 символов с любыми пробелами и пробельными знаками.
4. Проверка по базам утечек
Система авторизации обязана проверять новый пароль по базам скомпрометированных паролей (например, Have I Been Pwned) и запрещать слова из топ-10 000 самых популярных паролей интернета.
5. Обязательный второй фактор (2FA)
Если у вас включен полноценный второй фактор (TOTP / WebAuthn), сложность пароля перестаёт быть критической точкой отказа. Даже если пароль подсмотрели через плечо, войти без одноразового 6-значного кода злоумышленник не сможет.
---
Как внедрить парольную гигиену без пыток через OwnGate
Шлюз доступа OwnGate позволяет выстроить аутентификацию по современным мировым стандартам:
1. Бессрочные стойкие пароли. Мы снимаем с сотрудников стресс ежемесячной ротации, повышая лояльность команды и ликвидируя стикеры под клавиатурами.
2. Проверка паролей на прочность. Шлюз блокирует тривиальные пароли (12345678, qwerty123, название компании) ещё на этапе ввода.
3. Бескомпромиссный TOTP 2FA. Второй фактор запрашивается централизованно при каждом входе в любые сервисы компании (GitLab, Nextcloud, 1С, почта).
4. Контекстный мониторинг утечек. Если учетные данные сотрудника всплывают в публичных базах утечек даркнета, шлюз помечает аккаунт флагом риска и требует разовой смены секрета.
Перестаньте мучить коллег требованиями из прошлого века. Длинная парольная фраза, отсутствие бессмысленной ротации и надёжный второй фактор на шлюзе доступа OwnGate защитят компанию в сотни раз лучше, чем сотни забытых Vesna2026!.