Ihr Mitarbeiter ist richtig. Sie verwenden kein Passwort. Sie verwenden eine Passphrase. Und dieser Gedanke hat etwas Humor.
Wie bekanntlich von XKCD.com/936: Password Strength (kopiert und sichtbar in Abhijit’s answer , obwohl der Hovertext fehlt, wie es bei den meisten eklatanten Kopien von XKCD-Grafiken der Fall ist) hervorgehoben wurde, gibt es viele falsche Vorstellungen darüber, was gute Sicherheitsmerkmale ausmacht. In vielen, vielen Fällen wäre eine viel stärkere Methode die Verwendung eines kryptographischen Schlüssels, der Hunderte oder Tausende von Bits lang sein kann. Das wäre eine lächerliche Herausforderung beim Tippen (ich selbst habe noch nie einen Schlüssel getippt), aber Techniken wie die effektive Verwendung von ssh-agent können eine solch starke Sicherheit im Alltag leicht implementierbar machen.
Die Probleme mit einer solchen Technologie sind Themen wie die Ausbildung der Benutzer und vielleicht die Kompatibilität mit einigen Softwarelösungen, von denen wir beide hoffen können, dass sie ausgemerzt werden. Oh, und Unbekanntheit bei Leuten, die Sicherheitsmethoden wählen. Bildung kann vielleicht all diese Probleme beseitigen. Ich freue mich auf den Tag.
Bis wir eine solche Einfachheit (des täglichen Gebrauchs) erreicht haben, ist die Verwendung von Passwörtern eine Art Kompromiss. Bis wir eine bessere Situation erreicht haben, besteht ein viel besserer Ansatz darin, die Zahl der eingegebenen Passwörter so zu begrenzen, dass sie nur in sicheren Szenarien verwendet werden, und dann einen sicheren und vertrauenswürdigen Computer zu verwenden, um aufwändigere Zugangsdaten zu senden, die manuell noch schwieriger zu reproduzieren sind. Aber es fühlt sich an wie eine Entscheidung, die das Schlimmste von beiden Welten erreicht, wenn man manuell viel Mühe aufwendet, um eine Sicherheit zu erreichen, die besser als vermutet, aber schlechter als erreichbar ist.
Ich selbst habe das Geschick meines besten Freundes bewundert, lange Passphrasen zu verwenden. Außerdem macht er am Ende Tippfehler und muss sie mit einer gewissen Regelmäßigkeit neu tippen. Ich finde das humorvoll, weil ich selbst das gleiche Problem mit Passwörtern mit einer Länge von 8-13 Zeichen haben kann, und wenn er also zu seinem vierten, fünften oder sechsten Wort kommt, habe ich das Gefühl, dass er sich solche Probleme unnötig aufbürdet…
Wirklich, wenn Sie das von einem Kosten-Nutzen-Szenario aus analysieren, was ist dann der große Vorteil der Erweiterung der Passwortlänge auf Dinge wie 35-45 Zeichen? Wenn eine Person bei 15-19 Zeichen bleibt, wird sie mit Sicherheit das Ziel erreichen, ungewöhnlich lang zu sein, sicherer als die meisten Leute und sicherer als das, was die meisten Botnets leicht knacken können. Daher sind die zusätzlichen mehr als zwanzig Zeichen (oder, wie Sie sagen, mehr als vierzig Zeichen für einige Passwörter, die Sie verwendet haben) über eine Länge von 15-19 Zeichen hinaus am Ende einfach nur schmerzhaft komplex, ohne einen signifikanten Nutzen zu bringen. Deshalb ist der Beurteilungsfehler eine Ursache für Humor. Im besten Fall nehmen Sie sich mehr Zeit für Ihren Tag, da Sie ihn jedes Mal korrekt eingeben. (Im schlimmsten Fall nehmen Sie sich sogar noch mehr Zeit.)
Ich bewundere zwar die Bereitschaft meines Freundes, zu einem wichtigen Thema wie der Sicherheit ernsthaft Stellung zu beziehen, aber ich finde seine Entscheidung auch ein wenig fehlgeleitet. Heutzutage versuche ich normalerweise, das Lachen nur aus Höflichkeit für mich zu behalten, aber manchmal neige ich dazu, mich dazu zu äußern, wenn ich sehe, dass er ein viertes Mal versuchen muss, seine Passphrase richtig zu formulieren. (Und da ich sehen kann, wie viele Zeichen er tippt, sind es gewöhnlich einige der späteren Zeichen, die ihn zum Stolpern bringen)
wie gehe ich höflich auf meinen Mitarbeiter zu und bitte ihn, nicht mehr zu verbreiten, dass ich ein langes Passwort habe?
Vielleicht sollten Sie auch den Austausch des IPS-Stapels in Erwägung ziehen. Auf dieser Website scheint es viele Fragen zu geben: “Wie kommuniziere ich eine Nachricht, die ich vermitteln möchte, ohne die erwarteten negativen Ergebnisse zu erleben, wenn ich weiß, dass die Person es nicht schätzen wird, das zu hören, was ich vermitteln möchte? Anders formuliert lautet die Frage: "Wie mache ich das, was ich tun will, und nehme einer anderen Person das Recht, so zu antworten, wie diese Person wahrscheinlich antworten wird, nur weil ich nicht will, dass diese Person so antwortet? Das ist wirklich eine unfaire Frage, und oft ist die richtige Antwort für einen Arbeitsplatz, nicht zu versuchen, andere Menschen zu kontrollieren, sondern einfach seinen Teil dazu beizutragen, dass man miteinander auskommt. Aber da Sie gefragt haben, werde ich einige mögliche Optionen durchgehen.
Stellen Sie sich zunächst einmal vor, dass Ihr Mitarbeiter das Gefühl hat, Ihnen einen Gefallen zu tun, indem er Sie lächerlich macht, bis Sie Ihre Wege neu überdenken und vernünftigere Entscheidungen treffen. Es könnte also mehr sein, als nur, dass er versucht, eine einfache Gelegenheit zu nutzen, um einen Witz zu machen. Eine Person bei gewünschten Handlungen in Verlegenheit zu bringen, ist eine Technik, die (zumindest manchmal) effektiv sein kann, und so wird Ihr Mitarbeiter vielleicht nicht so leicht aus der Fassung zu bringen sein. (Beachten Sie, dass ich nicht sage, dass die Technik ethisch vertretbar ist, auch wenn sie ein gewünschtes Ergebnis zu erzielen scheint. Ich erkenne an, dass es Nebenwirkungen geben kann. Ihre Mitarbeiterin oder Ihr Mitarbeiter zieht diese möglicherweise nicht so sehr in Betracht). Sein Glaube, dass er Ihnen etwas Gutes tut, könnte ihn in seiner Entscheidung bestärken, auch wenn Sie seinen Glauben nicht mögen, und selbst wenn er eigentlich falsch ist.
Sie sollten sich vielleicht an unangenehme Techniken wie der Versuch, sich an eine höhere Autorität zu wenden, die Verhaltensbeschränkungen auferlegen kann, so dass Ihr Kollege das Gefühl hat, dass die Arbeitsplatzsicherheit bedroht ist. (Das ist wirklich kein sehr netter Ansatz. Man könnte natürlich argumentieren, dass es kein sehr netter Ansatz ist, wenn man belästigt wird). Das zu tun, könnte sein Verhalten einschränken.
Eine andere Möglichkeit könnte sein, dem Verhalten zu entsprechen, das er von Ihnen vorschlägt.
Beachten Sie, dass es zwingende Argumente dafür gibt, warum einige der Ansätze im vorigen Absatz so schrecklich sind, dass sie nicht einmal in Erwägung gezogen werden sollten. (Einige würden sich dagegen wehren, ihn weiter zu bevollmächtigen, indem sie ihn mit einem so böswilligen Ansatz gewinnen lassen. Einige würden sich dagegen wehren, ihn durch so harte Maßnahmen wie die Einbeziehung des Managements zu entmachten). Ich werde also keine Stellung dazu beziehen, welcher Ansatz am meisten oder am wenigsten richtig ist. Ich sage nur, dass dies einige der Optionen sind, die möglich sind. Einige Ansätze könnten für manche Menschen besser oder schlechter funktionieren und situationsabhängig sein.
Eine andere Möglichkeit könnte sein, zu reagieren. Sagen Sie einfach: "Wenn jemand wegen eines kurzen Passworts in unsere Systeme gelangt, wird es wahrscheinlich nicht meine Schuld sein. Das können Sie mit der Zeit verkürzen. Das kann ihn tatsächlich dazu inspirieren, mehr/härter zu kämpfen, wenn er erkennt, dass eine Reaktion entwickelt wurde. Das kurzfristige Ergebnis kann also aus Ihrer Sicht eine Verschlechterung der Situation sein. Aber wenn Sie einfach bei der gleichen alten Reaktion bleiben, dann wird dieser Austausch ihn wahrscheinlich irgendwann langweilen, das Thema einfach fallen zu lassen.