หลายคนเชื่อว่านโยบายการใช้รหัสผ่านที่ดีต้องประกอบด้วย รหัสผ่านที่มีความซับซ้อน มีความยาวที่เหมาะสม และควรหมั่นเปลี่ยนรหัสผ่านบ่อยๆ อย่างไรก็ตาม จากการศึกษาล่าสุดพบว่าการเปลี่ยนรหัสผ่านบ่อยๆ ไม่ได้ช่วยให้ระบบมั่นคงปลอดภัยยิ่งขึ้นแต่อย่างใด<span id="more-24158"></span>

<figure id="attachment_13027" class="wp-caption alignleft"><a href="https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2016/04/ttt_Password_Security_on_Button-Maksim_Kabakou.jpg?ssl=1"><img class="wp-image-13027 size-large tie-appear" src="https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2016/04/ttt_Password_Security_on_Button-Maksim_Kabakou.jpg?resize=600%2C300&amp;ssl=1" sizes="(max-width: 600px) 100vw, 600px" srcset="https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2016/04/ttt_Password_Security_on_Button-Maksim_Kabakou.jpg?resize=600%2C300&amp;ssl=1 600w, https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2016/04/ttt_Password_Security_on_Button-Maksim_Kabakou.jpg?resize=300%2C150&amp;ssl=1 300w, https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2016/04/ttt_Password_Security_on_Button-Maksim_Kabakou.jpg?resize=768%2C384&amp;ssl=1 768w, https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2016/04/ttt_Password_Security_on_Button-Maksim_Kabakou.jpg?resize=660%2C330&amp;ssl=1 660w, https://i2.wp.com/www.techtalkthai.com/wp-content/uploads/2016/04/ttt_Password_Security_on_Button-Maksim_Kabakou.jpg?w=1000&amp;ssl=1 1000w" width="600" height="300" /></a><figcaption class="wp-caption-text">Credit: Maksim Kabakou/ShutterStock</figcaption></figure>Lorrie Cranor หัวหน้าผู้ชำนาญการด้านเทคโนโลยีของ Federal Trade Commission (FTC) และอดีตศาสตราจารย์ของคณะวิทยาศาสตร์/วิศวกรรมคอมพิวเตอร์ มหาวิทยาลัยคาร์เนกี เมลลอน (CMU) ออกมา<a href="https://www.ftc.gov/news-events/blogs/techftc/2016/03/time-rethink-mandatory-password-changes">ระบุ</a>ว่า การเปลี่ยนรหัสผ่านๆ ก่อให้เกิดผลเสียมากกว่าผลดี เนื่องจาก ผู้ใช้ที่ถูกบังคับให้เปลี่ยนรหัสผ่านบ่อยๆ มักเริ่มต้นด้วยการเลือกใช้รหัสผ่านที่ไม่แข็งแรง จากนั้นเปลี่ยนรูปแบบของรหัสผ่านนั้นๆ ในแบบที่แฮ็คเกอร์สามารถเดาได้ไม่ยาก

สิ่งที่ Cranor ชี้แจงสนับสนุนโดย<a href="https://www.cs.unc.edu/~reiter/papers/2010/CCS.pdf">งานวิจัยจากมหาวิทยาลัยนอร์ธแคโรไลนา</a> (UNC) ในปี 2009 – 2010 นักวิจัยจากมหาวิทยาลัยได้ตรวจสอบรหัสผ่านของบัญชีนักศึกษา คณาจารย์ และเจ้าหน้าที่ที่เลิกใช้ไปแล้วกว่า 10,000 คน พบว่า มันง่ายมากที่จะแคร็กรหัสผ่านใหม่ถ้าพวกเขาสามารถแคร็กรหัสผ่านเดิมได้ เนื่องจากผู้ใช้มักสร้างรหัสผ่านใหม่โดยการเปลี่ยนแปลงรหัสผ่านเก่าเพียงเล็กน้อยเท่านั้น เช่น เปลี่ยนจากตัวพิมพ์เล็กไปเป็นตัวพิมพ์ใหญ่ แทนที่ตัวเลขด้วยตัวหนังสือ (เช่น 3 แทน E) หรือเพิ่มตัวอักษร/ตัวเลขโง่ๆ ต่อท้ายรหัสผ่านเดิม เป็นต้น

<a href="https://i1.wp.com/www.techtalkthai.com/wp-content/uploads/2016/12/secur3_passw0rds_chart.jpg?ssl=1"><img class="size-large wp-image-24159 tie-appear aligncenter" src="https://i1.wp.com/www.techtalkthai.com/wp-content/uploads/2016/12/secur3_passw0rds_chart.jpg?resize=600%2C600&amp;ssl=1" sizes="(max-width: 600px) 100vw, 600px" srcset="https://i1.wp.com/www.techtalkthai.com/wp-content/uploads/2016/12/secur3_passw0rds_chart.jpg?resize=600%2C600&amp;ssl=1 600w, https://i1.wp.com/www.techtalkthai.com/wp-content/uploads/2016/12/secur3_passw0rds_chart.jpg?resize=150%2C150&amp;ssl=1 150w, https://i1.wp.com/www.techtalkthai.com/wp-content/uploads/2016/12/secur3_passw0rds_chart.jpg?resize=300%2C300&amp;ssl=1 300w, https://i1.wp.com/www.techtalkthai.com/wp-content/uploads/2016/12/secur3_passw0rds_chart.jpg?w=620&amp;ssl=1 620w" alt="" width="600" height="600" /></a>

Cranor ระบุว่า จากงานวิจัยดังกล่าว ถ้านักวิจัยทราบรหัสผ่านที่ใช้งานก่อนหน้านี้ พวกเขาสามารถเดารหัสผ่านใหม่ได้ถูกต้องภายใน 5 ครั้ง ในขณะที่แฮ็คเกอร์ ถ้าทราบถึงรหัสผ่านที่รั่วไหลออกมาสู่สาธารณะ (เช่น จาก LeakedSource) ก็สามารถเดารหัสผ่านใหม่ได้ภายในเวลาไม่ถึง 3 วินาที และนี่เป็นเรื่องที่แฮ็คเกอร์ทำกันตั้งแต่ปี 2009

นอกจากนี้ยังมี<a href="http://people.scs.carleton.ca/~paulv/papers/expiration-authorcopy.pdf">งานวิจัยจากมหาวิทยาลัยคาร์เลตัน</a> ประเทศแคนาดา ที่เพิ่งตีพิมพ์ในเดือนมีนาคม 2015 ซึ่งได้ข้อสรุปเกี่ยวกับข้อดีด้านความมั่นคงปลอดภัยของการมีนโยบายรหัสผ่านหมดอายุ คือ <em>“มีข้อดีที่เรียกได้ว่าค่อนข้างน้อย และมีประเด็นเกี่ยวกับค่าใช้จ่ายในการลงทุน”</em> เนื่องจาก <em>“เมื่อมีการบังคับให้เปลี่ยนรหัสผ่าน รหัสผ่านใหม่ส่วนใหญ่มักมีแนวคิดที่สอดคล้องกับรหัสผ่านเดิม ซึ่งช่วยให้เดาได้ง่ายเพียงไม่กี่ครั้ง”</em>

ล่าสุดร่างนโยบายรหัสผ่านฉบับใหม่จาก <a href="https://www.techtalkthai.com/nist-sp-800-63-3-digital-authentication-guideline/">NIST SP 800-63-3: Digital Authentication Guideline</a> ก็ออกมาระบุชัดเจนว่า ให้เลิกกำหนดอายุของรหัสผ่านโดยไม่จำเป็น เนื่องจากถ้าองค์กรต้องการให้ผู้ใช้ตั้งรหัสผ่านที่ยาว เดาได้ยาก และแข็งแกร่ง องค์กรก็ไม่ควรให้ผู้ใช้เปลี่ยนรหัสผ่านบ่อยๆ

<em><strong>ที่มา:</strong> <a href="http://www.csoonline.com/article/3113710/data-protection/regular-password-changes-make-things-worse.html">http://www.csoonline.com/article/3113710/data-protection/regular-password-changes-make-things-worse.html</a></em>