Кратко

  • В напоминании ARIN от 9 октября говорится, что оно не вызвано инцидентом или подозрительной активностью. Пользователям, которые «недавно» не меняли пароль, предложено обновить его, однако срок не определён.
  • В публикации объединены повторное использование пароля, его ввод на ненадёжном устройстве или в сети и возможная слабость старого пароля. Это разные ситуации: подозрение на раскрытие, подтверждённая компрометация и повышение стойкости пароля требуют разных поводов для действий.

Совет не означает правило истечения срока

Ключевая фраза в публикации ARIN к месяцу осведомлённости о кибербезопасности — не уведомление об обратном отсчёте. Christian Johnson, директор по информационной безопасности ARIN, просит пользователей, которые «недавно» не меняли пароль ARIN Online, уделить время его обновлению. Он отдельно уточняет, что сообщение не стало ответом на инцидент или подозрительную активность. В публикации нет срока исполнения, максимального возраста пароля или перечня учётных записей, для которых изменение обязательно.

Разница принципиальна. Команда безопасности может рекомендовать недорогую меру предосторожности, не сообщая о сбое действующих средств защиты. Но слово «недавно» не даёт читателю понять, идёт ли речь о месяцах, годах или моменте, когда он перестал доверять секрету. В открытом руководстве ARIN описано, как отдельные пользователи управляют реестровыми записями, запросами и передачей интернет-ресурсов, а также получают доступ к функциям DNSSEC и RPKI. Для всех аккаунтов ARIN Online обязательна многофакторная аутентификация (MFA); каждому, кто ведёт записи организации или ресурсов, рекомендуется иметь индивидуальную учётную запись.

Возраст пароля клиента руководство не ограничивает.

Следовательно, изученные материалы подтверждают лишь узкий вывод: ARIN опубликовала добровольное напоминание обновить пароль, не указав публичный срок. Они не доказывают, что ARIN обязывает клиентов менять пароли по графику, что система требует обновления или что какой-либо аккаунт был скомпрометирован.

У трёх рисков нет общих часов

Johnson перечисляет три повода пересмотреть пароль. Другой сайт, где использовался тот же секрет, мог подвергнуться атаке. Пользователь мог вводить пароль на устройстве или в сети, которым не доверяет. Наконец, старый пароль может быть слабее более длинного, выбранного сегодня. Это правдоподобные сценарии, но ни один из них не сообщается как инцидент в ARIN.

Первые два связаны с возможным раскрытием. Если повторно использовавшийся пароль появился при утечке у другого сервиса, его надо сменить во всех аккаунтах, где он применялся; замена только пароля ARIN не устранит повторное использование в других местах. Если пароль набирали на устройстве, способном записывать ввод, нужно оценить, могли ли увидеть секрет или активный сеанс. Периодическое напоминание способно подтолкнуть к действию, но не указывает, какие ещё аккаунты стоит проверить и нужно ли закрыть активный сеанс.

Третий случай устроен иначе. Пароль может быть слабым, но неизвестным злоумышленнику. Тогда его следует заменить длинным уникальным секретом, желательно сгенерированным и сохранённым менеджером паролей, а не считать возраст доказательством компрометации. Публикация ARIN также говорит о повышении стойкости: рекомендует длинный пароль, предостерегает от повторного использования старого с небольшой модификацией и предлагает менеджер паролей.

ARIN Online — это не только аккаунт для чтения объявлений. Согласно открытому руководству, через него управляют реестровыми записями, подают запросы и оформляют передачу интернет-ресурсов, а также используют функции DNSSEC и RPKI. Пользователи связывают личные аккаунты с контактными записями организации; эти связи определяют полномочия для работы с её данными. Поэтому целостность аккаунта имеет практическое значение для членов ARIN и операторов. Но из этого не следует, что украденный пароль сам по себе меняет маршрутизацию или что подобное злоупотребление происходило.

Ориентир для сравнения, но не вердикт о соответствии

Окончательная редакция NIST SP 800-63B-4 даёт полезный ориентир для проектирования. В отношении проверяющих сторон и поставщиков услуг учётных данных, подпадающих под действие документа, она запрещает требовать периодической смены паролей, но требует принудительной смены при наличии свидетельств компрометации аутентификатора. Рекомендации NIST по пользовательскому опыту также выступают против произвольной периодической смены и подчёркивают важность уникальных паролей и менеджеров.

Здесь NIST служит точкой сравнения подходов к проектированию, а не основанием утверждать, что его правила юридически или договорно обязательны для ARIN. Кроме того, публикация ARIN носит рекомендательный характер. Добровольное напоминание само по себе не противоречит запрету на принудительную периодическую смену. Различие стало бы существенным, если бы организация превратила общий совет в обязательный срок или сочла сам прошедший срок доказательством компрометации. В изученных открытых материалах ARIN таких правил не видно.

Полезнее спросить не о том, должны ли все игнорировать напоминание, а о том, понятно ли, когда нужно действовать. При подозрении на раскрытие следует быстро изменить затронутый секрет и проверить способы восстановления аккаунта и сеансы. Если пароль просто старый, его можно сделать сильнее и уникальным. ARIN предлагает MFA через приложение-аутентификатор, SMS и ключ безопасности или ключ доступа; глава службы безопасности считает последние варианты наиболее сильными. В FAQ указано, что для аккаунта используется один активный способ, а восстановление возможно с одноразовым кодом или при поддержке сотрудников после проверки личности.

При смене фактора следует заранее знать путь восстановления: возможность вернуть доступ — тоже часть защиты.

Источники