Adgangskodestyrkemålere, der rent faktisk hjælper: UX- og NIST-vejledning
Sådan designes adgangskodefelter og styrkemålere, der følger den aktuelle NIST-vejledning: længde over symboler, blokeringslister, indsæt- og adgangskodeadministratorer og tydelig feedback.
Core Takeaway
Nuværende NIST-vejledning (SP 800-63B) favoriserer længde og blokeringslister frem for sammensætningsregler: adgangskoder, der bruges alene, skal være på mindst 15 tegn, tjenester skal tillade mindst 64, og de må ikke kræve blandinger af tegntyper. En god styrkemåler estimerer reel gættelighed, belønner længden, forklarer problemer med almindelige ord og arbejder med indsæt- og adgangskodeadministratorer.
Hvad NIST nu siger
NIST Special Publication 800-63B opstiller moderne adgangskoderegler for verifikatorer:
- Adgangskoder, der bruges som den eneste faktor, skal være på mindst 15 tegn; adgangskoder, der bruges inden for multifaktorautentificering, kan være kortere, men mindst 8.
- Tjenester bør tillade en maksimal længde på mindst 64 tegn.
- Tjenester må ikke pålægge sammensætningsregler, såsom at kræve blandinger af karaktertyper.
- Nye adgangskoder skal kontrolleres mod en blokliste over almindelige, forventede eller kompromitterede værdier, med årsagen til afvisningen vist.
- Tjenester skal tilbyde vejledning til at hjælpe folk med at vælge en stærk adgangskode.
Hvilken god måler måler
At tælle karaktertyper belønner "Password1!" og straffer en lang adgangssætning. Estimatorer som Dropbox's open-source zxcvbn leder i stedet efter mønstre, som angribere bruger, genkender titusindvis af almindelige adgangskoder, navne og ord og vurderer, hvor gætteligt adgangskoden egentlig er. Baser måleren på et sådant skøn plus din blokeringsliste.
Design af feltet
Små detaljer afgør, om folk lykkes:
- Tillad indsæt og autofyld, så adgangskodeadministratorer fungerer.
- Tilbyd en vis/skjul skifte i stedet for et bekræftelseskodefelt, hvor du kan.
- Vis krav, før du skriver, og lev derefter fremskridt, mens folk skriver.
- Forklar afvisninger med almindelige ord: "Denne adgangskode vises ved kendte brud."
- Indstil ikke en kunstigt lav maksimal længde.
Bevægelse og feedback
En måler, der fyldes jævnt, efterhånden som adgangskoden forbedres, giver opmuntrende, øjeblikkelig feedback. Undlad at animere det så meget, at det distraherer, brug ikke farver alene (tilføj en tekstetiket såsom "Stærk"), og undgå at ryste feltet, mens folk stadig skriver.
Tast Principles for at huske
- NIST: 15+ tegn for enkeltfaktoradgangskoder, mindst 64 tilladt
- Ingen sammensætningsregler; check i stedet for en blokeringsliste
- Estimer gættelighed (for eksempel med zxcvbn), ikke tegntyper
- Tillad indsæt- og adgangskodeadministratorer; tilbyde vis/skjul
- Par meterfarve med en tekstlabel
Ofte stillede spørgsmål
Kilder
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group