Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Sono disponibili diverse tecniche di mitigazione delle minacce che è possibile usare per proteggere meglio le password. Queste tecniche vengono implementate usando una o più delle tecnologie principali seguenti.
| Tecnologia | Descrizione |
|---|---|
| Crittografia: Next Generation (CNG) | CNG è l'API di crittografia preferita per lo sviluppo di Windows. Supporta algoritmi moderni, isolamento delle chiavi e agilità di crittografia. Per altre informazioni, vedere Funzionalità CNG. |
| Elenchi di controllo di accesso | Un elenco di controllo di accesso (ACL) è un elenco di protezioni di sicurezza applicabili a un oggetto . Un oggetto può essere un file, un processo, un evento o qualsiasi altro oggetto con un descrittore di sicurezza. Per altre informazioni sugli elenchi di controllo di accesso, vedere elenchi di Controllo di accesso. |
| API protezione dati (DPAPI) | DPAPI fornisce funzioni per crittografare e decrittografare i dati sensibili associati all'account utente o al computer: CryptProtectData, CryptUnprotectData, CryptProtectMemory e CryptUnprotectMemory. |
| Windows Gestione credenziali | Fornisce una risorsa di archiviazione sicura per le credenziali utente (password, certificati e altri segreti). Usare CredWrite e CredRead per l'accesso a livello di codice. Accessibile anche tramite CredUIPromptForWindowsCredentials. |
Note
CryptoAPI (le funzioni legacy Crypt* ) è ancora supportato per la compatibilità con le versioni precedenti, ma il nuovo codice deve usare le API CNG (Cryptography: Next Generation) per il supporto degli algoritmi moderni e un'architettura di sicurezza migliorata.
Le seguenti tecniche di mitigazione delle minacce usano una o più tecnologie precedenti.
Recupero di password dall'utente
Quando si consente all'utente di configurare una password, forzare l'uso di password complesse. Ad esempio, è necessario che le password siano una lunghezza minima, ad esempio otto caratteri o più. Le password devono anche includere lettere maiuscole e minuscole, numeri e altri caratteri della tastiera, ad esempio il simbolo del dollaro ($), il punto esclamativo (!) o maggiore di (>).
Dopo aver visualizzato una password, usarla rapidamente (usando il minor numero di codice possibile) e quindi cancellare tutte le vestigia della password. Ciò riduce al minimo il tempo disponibile per un intruso per "intercettare" la password. Il compromesso con questa tecnica è la frequenza con cui la password deve essere recuperata dall'utente; tuttavia, il principio dovrebbe essere utilizzato laddove possibile. Per informazioni su come ottenere correttamente le password, vedere Chiedere all'utente le credenziali.
Evitare di fornire opzioni dell'interfaccia utente "memorizza la password". Spesso, gli utenti dovranno avere questa opzione. Se è necessario specificarlo, assicurarsi almeno che la password venga salvata in modo sicuro. Per informazioni, vedere la sezione Archiviazione delle password, più avanti in questo argomento.
Limita la voce della password tenta. Dopo un certo numero di tentativi senza esito positivo, bloccare l'utente per un determinato periodo di tempo. Facoltativamente, allungare il tempo di risposta per ogni tentativo al massimo. Questa tecnica è finalizzata a sconfiggere un attacco indovinante.
Archiviazione delle password
Avvertimento
Non archiviare mai le password in testo non crittografato (non crittografato), non nei file, nel Registro di sistema, nella configurazione o nel codice sorgente. La crittografia delle password aumenta notevolmente la sicurezza.
Per informazioni sull'archiviazione di password crittografate, vedere CryptProtectData. Per informazioni sulla crittografia delle password in memoria, vedere CryptProtectMemory. Archiviare le password nel minor numero possibile di posizioni. Maggiore è il numero di posizioni in cui viene archiviata una password, maggiore è la probabilità che un intruso lo trovi. Non archiviare mai le password in una pagina Web o in un file basato sul Web. L'archiviazione delle password in una pagina Web o in un file basato sul Web consente di compromettere facilmente le password.
Dopo aver crittografato una password e averla archiviata, usare elenchi di controllo di accesso sicuri per limitare l'accesso al file. In alternativa, è possibile archiviare password e chiavi di crittografia nei dispositivi rimovibili. L'archiviazione di password e chiavi di crittografia in un supporto rimovibile, ad esempio una smart card, consente di creare un sistema più sicuro. Dopo aver recuperato una password per una determinata sessione, la scheda può essere rimossa, rimuovendo così la possibilità che un intruso possa ottenere l'accesso.