Messgeräte für die Passwortstärke, die tatsächlich helfen: UX- und NIST-Anleitung
So entwerfen Sie Passwortfelder und Stärkemesser, die den aktuellen NIST-Richtlinien folgen: Länge über Symbolen, Blocklisten, Einfüge- und Passwort-Manager und klares Feedback.
Kernaussage
Die aktuelle NIST-Leitlinie (SP 800-63B) bevorzugt Länge und Sperrlisten gegenüber Kompositionsregeln: Allein verwendete Passwörter müssen mindestens 15 Zeichen lang sein, Dienste sollten mindestens 64 Zeichen zulassen und sie dürfen keine Mischungen von Zeichentypen erfordern. Ein guter Kraftmesser schätzt die tatsächliche Erratenbarkeit, belohnt die Länge, erklärt Probleme in einfachen Worten und funktioniert mit Einfüge- und Passwort-Managern.
Was NIST jetzt sagt
NIST Special Publication 800-63B legt moderne Passwortregeln für Prüfer fest:
- Als einziger Faktor verwendete Passwörter müssen mindestens 15 Zeichen lang sein; Passwörter, die im Rahmen der Multi-Faktor-Authentifizierung verwendet werden, können kürzer sein, aber mindestens 8.
- Dienste sollten eine maximale Länge von mindestens 64 Zeichen zulassen.
- Dienste dürfen keine Kompositionsregeln auferlegen, die beispielsweise eine Mischung verschiedener Zeichentypen erfordern.
- Neue Passwörter müssen anhand einer Sperrliste mit allgemeinen, erwarteten oder kompromittierten Werten überprüft und der Grund für die Ablehnung angegeben werden.
- Die Dienste müssen Anleitungen bieten, um Menschen bei der Auswahl eines sicheren Passworts zu helfen.
Was für ein gutes Messgerät
Beim Zählen der Zeichentypen wird „Passwort1!“ belohnt. und bestraft eine lange Passphrase. Schätzer wie das Open-Source-Programm zxcvbn von Dropbox suchen stattdessen nach Mustern, die Angreifer verwenden, erkennen Zehntausende gängiger Passwörter, Namen und Wörter und schätzen, wie erratbar das Passwort tatsächlich ist. Basieren Sie den Zähler auf einer solchen Schätzung und Ihrer Sperrliste.
Gestaltung des Feldes
Kleine Details entscheiden darüber, ob Menschen erfolgreich sind:
- Erlauben Sie das Einfügen und automatische Ausfüllen, damit Passwort-Manager funktionieren.
- Bieten Sie, wo möglich, einen Schalter zum Ein-/Ausblenden anstelle eines Felds zur Passwortbestätigung an.
- Zeigen Sie die Anforderungen vor der Eingabe an und verfolgen Sie den Fortschritt live, während die Leute tippen.
- Erklären Sie Ablehnungen in einfachen Worten: „Dieses Passwort taucht bei bekannten Verstößen auf.“
- Legen Sie keine künstlich niedrige Maximallänge fest.
Bewegung und Feedback
Ein Messgerät, das sich mit der Verbesserung des Passworts reibungslos füllt, gibt ermutigendes, sofortiges Feedback. Animieren Sie es nicht so stark, dass es ablenkt, verwenden Sie nicht nur Farbe (fügen Sie eine Textbeschriftung wie „Stark“ hinzu) und vermeiden Sie es, das Feld zu schütteln, während die Leute noch tippen.
Wichtige Prinzipien
- NIST: 15+ Zeichen für Single-Faktor-Passwörter, mindestens 64 zulässig
- Keine Kompositionsregeln; Prüfen Sie stattdessen anhand einer Sperrliste
- Schätzen Sie die Erratenbarkeit (z. B. mit zxcvbn), nicht die Zeichentypen
- Einfügen und Passwort-Manager zulassen; Angebot ein-/ausblenden
- Koppeln Sie die Farbe des Messgeräts mit einer Textbeschriftung
Häufige Fragen
Quellen
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group