我发现，在很多情况下，强迫用户定期更改密码只会增加维护负担，而不是提高安全性。此外，我还看到用户将新密码写下来，因为他们要么没有足够的时间记住密码，要么懒得重新学习另一个密码。
强制更改密码有什么安全好处？
答案1
以下是 SANS 日记中的不同看法：
密码规则：每25年更改一次
这样做有一个实际好处。如果有人知道你的密码，而他们想要的只是阅读你的电子邮件而不被发现，那么他们可以永远这样做，除非你最终更改了登录密码。因此，定期更改密码对于防止有人闯入并窃取您的财产没有多大帮助，但它确实让您有机会摆脱可能访问您帐户的任何跟踪者或窥探者。是的，这很好。但仅凭这一好处是否值得为此付出麻烦，以及强制用户每 90 天更改密码的弊端，我对此表示怀疑。
答案2
当您猜出密码时强制更改密码（通过始终对所有用户运行密码猜测程序）。
当“为什么？”的答案是“因为我们可以盲猜”时，很难反驳“你必须更改密码”。它会自动奖励那些选择难以猜测的密码的人，并告诉您的用户哪些密码是弱密码。如果他们选择“password1”，密码将在他们登录一次之前过期。如果用户选择一个 16 个字符、随机、大小写混合、字母数字的密码，您永远猜不到它——其他人也猜不到。让他们保留很长时间，他们甚至能够记住它。
答案3
这是一种权衡。频繁更改密码确实会导致密码质量下降。甚至有研究对此进行了探讨。
话虽如此，我发现防止用户共享密码的唯一可靠方法是要求定期更改密码。我的经验表明，90 天似乎是可用性和安全性之间的一个不错的折衷方案。如果时间更长，人们就会开始依赖共享密码 - 很快，你就会得到“November09”、“December09”等密码。
答案4
我认为这种做法根本没有任何好处。
强密码更为重要。所谓强密码，我指的是 9 个以上的字母数字+特殊符号，或者 15 个以上的 [az] 非字典密码/短语（这是基于最近对使用 Amazon EC2 暴力破解密码的成本的研究）。
远程访问系统必须在所有公开的服务上安装暴力破解检测和预防软件（例如 fail2ban）。在我看来，这比常规的密码更改策略更重要。