مقاييس قوة كلمة المرور التي تساعد فعليًا: إرشادات UX وNIST
كيفية تصميم حقول كلمات المرور وأجهزة قياس القوة التي تتبع إرشادات NIST الحالية: طول الرموز وقوائم الحظر ومديري اللصق وكلمات المرور والتعليقات الواضحة.
الوجبات الجاهزة الأساسية
تفضل إرشادات NIST الحالية (SP 800-63B) الطول وقوائم الحظر على قواعد التكوين: يجب أن تتكون كلمات المرور المستخدمة بمفردها من 15 حرفًا على الأقل، ويجب أن تسمح الخدمات بـ 64 حرفًا على الأقل، ويجب ألا تتطلب مزيجًا من أنواع الأحرف. يقوم مقياس القوة الجيد بتقدير إمكانية التخمين الحقيقية، وطول المكافآت، ويشرح المشكلات بكلمات واضحة ويعمل مع مديري اللصق وكلمات المرور.
ما يقوله NIST الآن
يحدد المنشور الخاص NIST 800-63B قواعد كلمة المرور الحديثة للمتحققين:
- يجب أن تتكون كلمات المرور المستخدمة كعامل وحيد من 15 حرفًا على الأقل؛ قد تكون كلمات المرور المستخدمة في المصادقة متعددة العوامل أقصر ولكن على الأقل 8.
- يجب أن تسمح الخدمات بحد أقصى يبلغ 64 حرفًا على الأقل.
- يجب ألا تفرض الخدمات قواعد تكوين مثل طلب مزيج من أنواع الأحرف.
- يجب التحقق من كلمات المرور الجديدة مقابل قائمة محظورة من القيم الشائعة أو المتوقعة أو المعرضة للخطر، مع توضيح سبب الرفض.
- يجب أن تقدم الخدمات إرشادات لمساعدة الأشخاص على اختيار كلمة مرور قوية.
يا له من مقياس جيد
عد أنواع الأحرف يكافئ "Password1!" ويعاقب عبارة مرور طويلة. يبحث المقدرون، مثل zxcvbn مفتوح المصدر من Dropbox، عن الأنماط التي يستخدمها المهاجمون، ويتعرفون على عشرات الآلاف من كلمات المرور والأسماء والكلمات الشائعة، ويقدرون مدى إمكانية تخمين كلمة المرور حقًا. اعتمد جهاز القياس على تقدير كهذا، بالإضافة إلى قائمة الحظر الخاصة بك.
تصميم المجال
التفاصيل الصغيرة تحدد نجاح الأشخاص:
- السماح باللصق والملء التلقائي حتى يعمل مديرو كلمات المرور.
- قم بتقديم تبديل إظهار/إخفاء بدلاً من حقل تأكيد كلمة المرور حيث يمكنك ذلك.
- اعرض المتطلبات قبل الكتابة، ثم شاهد التقدم أثناء قيام الأشخاص بالكتابة.
- اشرح حالات الرفض بكلمات واضحة: "تظهر كلمة المرور هذه في الخروقات المعروفة."
- لا تقم بتعيين حد أقصى منخفض للطول بشكل مصطنع.
الحركة والتغذية الراجعة
إن المقياس الذي يتم ملؤه بسلاسة مع تحسن كلمة المرور يعطي تعليقات مشجعة وفورية. لا تقم بتحريكه كثيرًا بحيث يشتت انتباهك، ولا تستخدم اللون وحده (أضف تسمية نصية مثل "قوي")، وتجنب هز الحقل بينما لا يزال الأشخاص يكتبون.
مفتاح Principle للتذكر
- NIST: أكثر من 15 حرفًا لكلمات المرور ذات العامل الواحد، يُسمح بـ 64 حرفًا على الأقل
- لا توجد قواعد التكوين. تحقق من قائمة الحظر بدلاً من ذلك
- تقدير إمكانية التخمين (على سبيل المثال مع zxcvbn)، وليس أنواع الأحرف
- السماح لمديري اللصق وكلمات المرور؛ عرض العرض/الإخفاء
- قم بإقران لون المقياس مع تسمية نصية
الأسئلة المتداولة
المصادر
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — جيثب (دروببوإكس)
- Error-Message Guidelines — Nielsen Norman Group