Измерватели на силата на паролата, които действително помагат: UX и NIST насоки
Как да проектираме полета за пароли и измерватели на силата, които следват текущите указания на NIST: дължина над символи, списъци за блокиране, мениджъри за поставяне и пароли и ясна обратна връзка.
Ядро за вкъщи
Настоящите насоки на NIST (SP 800-63B) предпочитат дължината и списъците с блокирани пред правилата за композиция: паролите, използвани сами по себе си, трябва да са с поне 15 знака, услугите трябва да позволяват поне 64 и не трябва да изискват смеси от типове знаци. Добрият измервател на сила оценява реалната възможност за отгатване, възнаграждава дължината, обяснява проблемите с прости думи и работи с мениджъри за поставяне и пароли.
Какво казва NIST сега
NIST Специална публикация 800-63B определя съвременни правила за пароли за верификатори:
- Паролите, използвани като единствен фактор, трябва да бъдат поне 15 знака; паролите, използвани при многофакторно удостоверяване, може да са по-къси, но поне 8.
- Услугите трябва да позволяват максимална дължина от поне 64 знака.
- Услугите не трябва да налагат правила за съставяне, като например изискване за смесване на типове знаци.
- Новите пароли трябва да бъдат проверени спрямо списък с блокове от общи, очаквани или компрометирани стойности, с показана причина за отхвърляне.
- Услугите трябва да предлагат насоки, за да помогнат на хората да изберат силна парола.
Какъв добър метър измерва
Преброяването на типовете символи награждава "Password1!" и наказва дълга парола. Оценители като zxcvbn с отворен код на Dropbox вместо това търсят модели, използвани от нападателите, разпознавайки десетки хиляди често срещани пароли, имена и думи, и оценяват колко лесна за отгатване е паролата. Базирайте измервателния уред на подобна оценка плюс вашия списък за блокиране.
Проектиране на полето
Малките детайли решават дали хората успяват:
- Разрешете поставяне и автоматично попълване, така че мениджърите на пароли да работят.
- Предложете превключване за показване/скриване вместо поле за потвърждение на парола, където можете.
- Показване на изискванията, преди да пишете, след това напредък на живо, докато хората пишат.
- Обяснете отказите с ясни думи: „Тази парола се появява при известни пробиви.“
- Не задавайте изкуствено ниска максимална дължина.
Движение и обратна връзка
Измервател, който се запълва плавно с подобряването на паролата, дава окуражаваща, незабавна обратна връзка. Не го анимирайте толкова много, че да разсейва, не използвайте само цвят (добавете текстов етикет като „Силен“) и избягвайте разклащане на полето, докато хората все още пишат.
Ключове Principle, които трябва да запомните
- NIST: 15+ знака за еднофакторни пароли, разрешени са поне 64
- Без правила за композиция; вместо това проверете в списък за блокиране
- Оценете възможността за отгатване (например с zxcvbn), а не типовете знаци
- Разрешаване на мениджъри за поставяне и пароли; оферта покажи/скрий
- Сдвоете цвета на измервателния уред с текстов етикет
Често задавани въпроси
Източници
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group