{"id":190,"date":"2013-08-08T08:25:19","date_gmt":"2013-08-08T06:25:19","guid":{"rendered":"http:\/\/www.it-is-all-about-risk.de\/?p=190"},"modified":"2014-02-04T18:44:26","modified_gmt":"2014-02-04T16:44:26","slug":"pci-dss-wie-die-anderung-der-benutzerpassworter-alle-90-tage-indirekt-regelmasig-umgangen-wird","status":"publish","type":"post","link":"https:\/\/security.sauer.ninja\/de\/pci-dss\/pci-dss-wie-die-anderung-der-benutzerpassworter-alle-90-tage-indirekt-regelmasig-umgangen-wird\/","title":{"rendered":"PCI DSS: Wie die \u00c4nderung der Benutzerpassw\u00f6rter alle 90 Tage indirekt regelm\u00e4\u00dfig umgangen wird."},"content":{"rendered":"<p>Der Payment Card Industry Data Security Standard 2.0 schreibt die \u00c4nderung von Benutzerpassw\u00f6rtern alle 90 Tage vor: \u201c8.5.9 Change user passwords at least every 90 days.\u201d Meistens sehe ich in der Praxis folgende Typen von Nutzern:<\/p>\n<ol>\n<li>Der Nutzer benutzt einen Password-Safe wie z.B. Keepass und er generiert regelm\u00e4\u00dfig neue Passw\u00f6rter.<\/li>\n<li>Der Nutzer muss sich das Password tats\u00e4chlich merken und iteriert Zahlen durch.<\/li>\n<\/ol>\n<p>Nutzer von Password-Safes haben aber noch das Problem, dass die Nutzung erst nach der Anmeldung an einen Arbeitsplatz m\u00f6glich ist. Somit fallen die meisten beim Passwort f\u00fcr den Login am Arbeitsplatz in die Kategorie 2 zur\u00fcck: Passw\u00f6rter\u00e4nderungen werden so realisiert, dass sich der Nutzer ein Schema merkt. Damit ergeben sich sinnlose Passwort\u00e4nderungen wie z.B.<\/p>\n<ul>\n<li>Passwort-01, Passwort-02, Passwort-03, \u2026<\/li>\n<li>Passwort!2012-04, Passwort!2013-01, Passwort!2013-02, &#8230;<\/li>\n<\/ul>\n<p>Damit wird in der Praxis die erzwungene \u00c4nderung von Passw\u00f6rtern alle 90 Tage umgangen. \u201eCompliant\u201c im Sinne von PCI DSS sind diese Passw\u00f6rter und die damit verbundenen \u00c4nderungen dennoch. Ich finde es w\u00e4re hilfreich, wenn man die regelm\u00e4\u00dfige \u00c4nderung von Passw\u00f6rtern beibeh\u00e4lt, allerdings die Fristen risikogewichtet und damit flexibler gestaltet. Wenn eine Sicherheitsma\u00dfnahme zu aufwendig ist (hier das Merken neuer Passw\u00f6rter), und sie umgangen werden kann, wird sie auch umgangen werden.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Der Payment Card Industry Data Security Standard 2.0 schreibt die \u00c4nderung von Benutzerpassw\u00f6rtern alle 90 Tage vor: \u201c8.5.9 Change user passwords at least every 90 days.\u201d Meistens sehe ich in der Praxis folgende Typen von Nutzern: Der Nutzer benutzt einen Password-Safe wie z.B. Keepass und er generiert regelm\u00e4\u00dfig neue Passw\u00f6rter. Der Nutzer muss sich das &#8230; <span class=\"more\"><a class=\"more-link\" href=\"https:\/\/security.sauer.ninja\/de\/pci-dss\/pci-dss-wie-die-anderung-der-benutzerpassworter-alle-90-tage-indirekt-regelmasig-umgangen-wird\/\">[Read more&#8230;]<\/a><\/span><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[2],"tags":[32,39,45],"class_list":{"0":"entry","1":"post","2":"publish","3":"author-psauer","4":"post-190","6":"format-standard","7":"category-pci-dss","8":"post_tag-compliance","9":"post_tag-passwoerter","10":"post_tag-requirement"},"_links":{"self":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts\/190","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/comments?post=190"}],"version-history":[{"count":6,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts\/190\/revisions"}],"predecessor-version":[{"id":377,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/posts\/190\/revisions\/377"}],"wp:attachment":[{"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/media?parent=190"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/categories?post=190"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/security.sauer.ninja\/de\/wp-json\/wp\/v2\/tags?post=190"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}