Medidores de seguridad de contraseñas que realmente ayudan: orientación sobre UX y NIST
Cómo diseñar campos de contraseña y medidores de intensidad que sigan las pautas actuales de NIST: longitud de los símbolos, listas de bloqueo, administradores de pegado y contraseñas, y comentarios claros.
Idea clave
La guía actual NIST (SP 800-63B) favorece la longitud y las listas de bloqueo sobre las reglas de composición: las contraseñas utilizadas por sí solas deben tener al menos 15 caracteres, los servicios deben permitir al menos 64 y no deben requerir combinaciones de tipos de caracteres. Un buen medidor de fuerza estima la capacidad de adivinar real, recompensa la longitud, explica los problemas en palabras sencillas y funciona con administradores de pegado y contraseñas.
Lo que dice ahora NIST
La publicación especial NIST 800-63B establece reglas de contraseñas modernas para verificadores:
- Las contraseñas utilizadas como único factor deben tener al menos 15 caracteres; Las contraseñas utilizadas en la autenticación multifactor pueden ser más cortas, pero al menos 8.
- Los servicios deben permitir una longitud máxima de al menos 64 caracteres.
- Los servicios no deben imponer reglas de composición, como exigir combinaciones de tipos de personajes.
- Las nuevas contraseñas deben compararse con una lista de bloqueo de valores comunes, esperados o comprometidos, y se debe mostrar el motivo del rechazo.
- Los servicios deben ofrecer orientación para ayudar a las personas a elegir una contraseña segura.
Que buen medidor mide
Contar tipos de personajes recompensa "¡Contraseña1!" y castiga una frase de contraseña larga. En cambio, estimadores como el zxcvbn de código abierto de Dropbox buscan patrones que usan los atacantes, reconociendo decenas de miles de contraseñas, nombres y palabras comunes, y estiman qué tan adivinable es realmente la contraseña. Base el medidor en una estimación como esa, más su lista de bloqueo.
Diseñando el campo
Los pequeños detalles deciden si las personas tienen éxito:
- Permita pegar y autocompletar para que funcionen los administradores de contraseñas.
- Ofrezca una opción para mostrar/ocultar en lugar de un campo de confirmación de contraseña cuando pueda.
- Muestre los requisitos antes de escribir y luego viva el progreso a medida que las personas escriben.
- Explique los rechazos con palabras sencillas: "Esta contraseña aparece en infracciones conocidas".
- No establezca una longitud máxima artificialmente baja.
Movimiento y retroalimentación
Un medidor que se llena suavemente a medida que mejora la contraseña brinda comentarios alentadores e inmediatos. No lo animes tanto que distraiga, no uses solo color (agrega una etiqueta de texto como "Fuerte") y evita agitar el campo mientras las personas todavía están escribiendo.
Principios clave para recordar
- NIST: más de 15 caracteres para contraseñas de un solo factor, se permiten al menos 64
- Sin reglas de composición; en lugar de eso, compruébalo con una lista de bloqueo
- Estimar la capacidad de adivinar (por ejemplo, con zxcvbn), no los tipos de caracteres
- Permitir administradores de pegado y contraseñas; oferta mostrar/ocultar
- Emparejar el color del medidor con una etiqueta de texto
Preguntas frecuentes
Fuentes
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group