Μετρητές ισχύος κωδικού πρόσβασης που πραγματικά βοηθούν: Καθοδήγηση UX και NIST
Πώς να σχεδιάσετε πεδία κωδικού πρόσβασης και μετρητές ισχύος που ακολουθούν τις τρέχουσες οδηγίες NIST: μήκος πάνω από σύμβολα, λίστες αποκλεισμού, διαχειριστές επικόλλησης και κωδικών πρόσβασης και σαφή σχόλια.
Core Takeaway
Η τρέχουσα καθοδήγηση NIST (SP 800-63B) ευνοεί το μήκος και τις λίστες αποκλεισμού έναντι των κανόνων σύνθεσης: οι κωδικοί πρόσβασης που χρησιμοποιούνται από μόνοι τους πρέπει να είναι τουλάχιστον 15 χαρακτήρες, οι υπηρεσίες θα πρέπει να επιτρέπουν τουλάχιστον 64 και δεν πρέπει να απαιτούν συνδυασμούς τύπων χαρακτήρων. Ένας καλός μετρητής δύναμης υπολογίζει την πραγματική δυνατότητα εικασίας, ανταμείβει το μήκος, εξηγεί προβλήματα με απλά λόγια και συνεργάζεται με διαχειριστές επικόλλησης και κωδικών πρόσβασης.
Τι λέει τώρα το NIST
Το NIST Special Publication 800-63B ορίζει σύγχρονους κανόνες κωδικού πρόσβασης για επαληθευτές:
- Οι κωδικοί πρόσβασης που χρησιμοποιούνται ως μοναδικός παράγοντας πρέπει να είναι τουλάχιστον 15 χαρακτήρες. Οι κωδικοί πρόσβασης που χρησιμοποιούνται στον έλεγχο ταυτότητας πολλαπλών παραγόντων μπορεί να είναι μικρότεροι αλλά τουλάχιστον 8.
- Οι υπηρεσίες θα πρέπει να επιτρέπουν μέγιστο μήκος τουλάχιστον 64 χαρακτήρων.
- Οι υπηρεσίες δεν πρέπει να επιβάλλουν κανόνες σύνθεσης, όπως η απαίτηση μίξης τύπων χαρακτήρων.
- Οι νέοι κωδικοί πρόσβασης πρέπει να ελέγχονται σε μια λίστα αποκλεισμού κοινών, αναμενόμενων ή παραβιασμένων τιμών, με την ένδειξη του λόγου απόρριψης.
- Οι υπηρεσίες πρέπει να προσφέρουν καθοδήγηση για να βοηθήσουν τους χρήστες να επιλέξουν έναν ισχυρό κωδικό πρόσβασης.
Τι καλός μετρητής μετράει
Η καταμέτρηση τύπων χαρακτήρων επιβραβεύει "Κωδικός πρόσβασης1!" και τιμωρεί μια μακρά συνθηματική φράση. Οι εκτιμητές όπως το zxcvbn ανοιχτού κώδικα του Dropbox αναζητούν μοτίβα που χρησιμοποιούν οι επιτιθέμενοι, αναγνωρίζοντας δεκάδες χιλιάδες κοινούς κωδικούς πρόσβασης, ονόματα και λέξεις και εκτιμούν πόσο πιθανός είναι πραγματικά ο κωδικός πρόσβασης. Βασίστε τον μετρητή σε μια τέτοια εκτίμηση, συν τη λίστα αποκλεισμού σας.
Σχεδιάζοντας το πεδίο
Οι μικρές λεπτομέρειες καθορίζουν αν οι άνθρωποι πετυχαίνουν:
- Να επιτρέπεται η επικόλληση και η αυτόματη συμπλήρωση, ώστε να λειτουργούν οι διαχειριστές κωδικών πρόσβασης.
- Προσφέρετε μια εναλλαγή εμφάνισης/απόκρυψης αντί για ένα πεδίο επιβεβαίωσης-κωδικού πρόσβασης όπου μπορείτε.
- Εμφάνιση απαιτήσεων πριν από την πληκτρολόγηση και, στη συνέχεια, ζωντανή πρόοδο καθώς πληκτρολογούν οι άνθρωποι.
- Εξηγήστε τις απορρίψεις με απλά λόγια: "Αυτός ο κωδικός πρόσβασης εμφανίζεται σε γνωστές παραβιάσεις."
- Μην ορίζετε ένα τεχνητά χαμηλό μέγιστο μήκος.
Κίνηση και ανατροφοδότηση
Ένας μετρητής που γεμίζει ομαλά καθώς βελτιώνεται ο κωδικός πρόσβασης παρέχει ενθαρρυντικά, άμεσα σχόλια. Μην το ζωντανεύετε τόσο πολύ ώστε να αποσπά την προσοχή, μην χρησιμοποιείτε μόνο χρώμα (προσθέστε μια ετικέτα κειμένου όπως "Δυνατό") και αποφύγετε να κουνάτε το πεδίο ενώ οι άνθρωποι ακόμα πληκτρολογούν.
Κλειδί Principles για να θυμάστε
- NIST: 15+ χαρακτήρες για κωδικούς πρόσβασης ενός παράγοντα, επιτρέπονται τουλάχιστον 64
- Δεν υπάρχουν κανόνες σύνθεσης. αντ' αυτού, ελέγξτε σε μια λίστα αποκλεισμού
- Εκτιμήστε τη δυνατότητα εικασίας (για παράδειγμα με το zxcvbn), όχι τους τύπους χαρακτήρων
- Να επιτρέπονται οι διαχειριστές επικόλλησης και κωδικών πρόσβασης. προσφορά εμφάνιση/απόκρυψη
- Συνδυάστε το χρώμα του μετρητή με μια ετικέτα κειμένου
Συχνές Ερωτήσεις
Πηγές
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group