NIST против ФСТЭК
NIST против ФСТЭК Сегодня обсудим не совсем злободневную тему, которую поднял и не раскрыл автор статьи на Хабре, уведя все в другую сторону. В апреле 2026 года ФСТЭК утвердила методический документ, по которому пароль в госсистемах и КИИ меняется не реже раза в 90 дней, а на мобильных устройствах — раз в 30. Примерно за девять месяцев до этого NIST в финальной редакции SP 800-63B записал дословно: «Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically». Два регулятора, два противоположных требования. Давайте разберем аргументы каждой стороны. ▪️Почему NIST запретила плановую смену Логика NIST строится на простом наблюдении, мол принудительная смена пароля приводит к предсказуемым и слабым паролям. Пользователь, которому каждые 90 дней нужно придумывать что-то новое, неизбежно выбирает минимальные вариации: Password1 ➡️ Password2 ➡️ Password3. Эту же динамику подтвердил и сам автор оригинальных правил 2003 года Билл Берр, публично извинившись: «Многое из того, что я сделал, теперь вызывает у меня сожаление». Вместо ротации NIST предлагает три вещи: длинные пароли (рекомендуемые 15 символов и более), проверку новых паролей по базам скомпрометированных данных и смену только при подтвержденном факте компрометации. В итоге, никаких сложностных правил, никаких регулярных смен. ▪️Почему ФСТЭК сделала ротацию обязательной У российского регулятора иная модель угроз. Ключевой аргумент простой как табурет: плановая смена ограничивает «окно уязвимости» — время, в течение которого злоумышленник может использовать украденный хэш или скомпрометированные учетные данные. Если пароль украли, но не заметили, ротация через 90 дней (или 30 на мобильных) автоматически закрывает доступ. Кроме того, смена пароля попутно завершает все активные сессии, включая те, о которых пользователь мог не знать. В государственных информационных системах и на объектах КИИ цена компрометации может быть существенно выше, чем в коммерческом секторе, поэтому здесь действует презумпция «лучше перебдеть». Методичка ФСТЭК 2026 года также требует запрет на повтор 12 последних паролей. Ни одна из сторон не является однозначно неправой, так как у них просто разные вводные. NIST исходит из поведенческой психологии и статистики. Спорить с тем, что люди не умеют придумывать новые пароли под давлением, и это ослабляет общую безопасность больше, чем гипотетическая угроза несвоевременной смены, сложно. Но и ФСТЭК исходит из нормативной логики и модели угроз для критической инфраструктуры: если утечка произошла, а вы ее не засекли, ротация — хороший прием. Оба подхода имеют право на существование. Проблема возникает, когда их пытаются смешивать или когда одну логику механически переносят в другую среду. Для коммерческого сектора и рядовых пользователей NIST, скорее всего, ближе к истине. Для госсистем и КИИ с их спецификой требований ФСТЭК — как минимум до появления работающих альтернатив вроде аппаратных токенов и passkeys — остается единственным легальным путем. Выбор, как обычно, определяется не тем, что правильнее, а тем, что требует проверяющий. 🔤🔤Отдельно стоит сказать про двухфакторную аутентификацию — в этом вопросе позиции регуляторов, как ни странно, сходятся. NIST в SP 800-63B рассматривает MFA как обязательный элемент для среднего и высокого уровней доверия (AAL2 и AAL3), требует двух независимых факторов из разных категорий и рекомендует MFA по умолчанию для всех пользователей. ФСТЭК в приказе №117 предписывает государственным и муниципальным системам «строгую аутентификацию с использованием криптографических методов», а при технической невозможности — многофакторную. В будущем, возможно, обсудим войну двухфакторки с адептами паролей — тема обширная и достойная отдельного разговора. @antiinfosec