Měřiče síly hesla, které skutečně pomáhají: Pokyny UX a NIST
Jak navrhnout pole hesel a měřiče síly, které se řídí aktuálními pokyny NIST: délka přes symboly, seznamy blokovaných položek, správci vkládání a hesel a jasná zpětná vazba.
Core Takeaway
Současné pokyny NIST (SP 800-63B) upřednostňují délku a blokované seznamy před pravidly skládání: hesla použitá samostatně musí mít alespoň 15 znaků, služby by měly umožňovat alespoň 64 znaků a nesmějí vyžadovat kombinaci typů znaků. Dobrý měřič síly odhaduje skutečnou odhadovatelnost, odměňuje délku, vysvětluje problémy srozumitelnými slovy a spolupracuje se správci vkládání a hesel.
Co nyní říká NIST
Speciální publikace NIST 800-63B stanoví moderní pravidla hesel pro ověřovatele:
- Hesla použitá jako jediný faktor musí mít alespoň 15 znaků; hesla použitá v rámci vícefaktorové autentizace mohou být kratší, ale minimálně 8.
- Služby by měly umožňovat maximální délku alespoň 64 znaků.
- Služby nesmí ukládat pravidla složení, jako je vyžadování kombinace typů postav.
- Nová hesla musí být porovnána s blokovaným seznamem běžných, očekávaných nebo kompromitovaných hodnot s uvedením důvodu zamítnutí.
- Služby musí nabízet pokyny, které lidem pomohou vybrat si silné heslo.
Jak dobrý měřič měří
Počítání typů postav odměny "Heslo1!" a trestá dlouhou přístupovou frázi. Odhadci, jako je open-source zxcvbn Dropboxu, místo toho hledají vzory, které útočníci používají, rozpoznávají desítky tisíc běžných hesel, jmen a slov a odhadují, jak uhodnutelné heslo ve skutečnosti je. Založte měřidlo na takovém odhadu a na vašem seznamu blokovaných položek.
Projektování hřiště
O úspěchu lidí rozhodují malé detaily:
- Povolit vkládání a automatické vyplňování, aby správci hesel fungovali.
- Pokud můžete, nabídněte místo pole pro potvrzení hesla přepínač zobrazit/skrýt.
- Před psaním ukažte požadavky a poté žijte, jak lidé píší.
- Vysvětlete odmítnutí jasnými slovy: "Toto heslo se objevuje při známých porušeních."
- Nenastavujte uměle nízkou maximální délku.
Pohyb a zpětná vazba
Měřič, který se plynule plní při zlepšování hesla, poskytuje povzbudivou okamžitou zpětnou vazbu. Neanimujte jej tolik, aby to rušilo, nepoužívejte pouze barvu (přidejte textový štítek, například „Silný“), a vyhněte se třesení pole, zatímco lidé stále píší.
Klíč Principle k zapamatování
- NIST: 15+ znaků pro jednofaktorová hesla, povoleno alespoň 64 znaků
- Žádná pravidla složení; místo toho zkontrolovat podle seznamu blokovaných
- Odhadněte odhadovatelnost (například pomocí zxcvbn), nikoli typy postav
- Povolit správce vkládání a hesel; nabídka zobrazit/skrýt
- Spárujte barvu měřiče s textovým štítkem
Často kladené otázky
Zdroje
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group