Mesureurs de force de mot de passe qui aident réellement : conseils UX et NIST
Comment concevoir des champs de mot de passe et des indicateurs de force qui suivent les directives actuelles de NIST : longueur des symboles, listes de blocage, gestionnaires de collage et de mots de passe et commentaires clairs.
À retenir
Les directives actuelles de NIST (SP 800-63B) privilégient la longueur et les listes de blocage plutôt que les règles de composition : les mots de passe utilisés seuls doivent comporter au moins 15 caractères, les services doivent en autoriser au moins 64 et ils ne doivent pas nécessiter de mélanges de types de caractères. Un bon indicateur de force estime la vraisemblance, récompense la longueur, explique les problèmes avec des mots simples et fonctionne avec les gestionnaires de collage et de mots de passe.
Ce que dit maintenant NIST
La publication spéciale NIST 800-63B définit les règles modernes de mot de passe pour les vérificateurs :
- Les mots de passe utilisés comme seul facteur doivent comporter au moins 15 caractères ; les mots de passe utilisés dans le cadre de l'authentification multifacteur peuvent être plus courts mais au moins 8.
- Les services doivent autoriser une longueur maximale d'au moins 64 caractères.
- Les services ne doivent pas imposer de règles de composition telles que l'exigence de mélanges de types de caractères.
- Les nouveaux mots de passe doivent être vérifiés par rapport à une liste de blocage de valeurs courantes, attendues ou compromises, avec la raison du rejet indiquée.
- Les services doivent offrir des conseils pour aider les gens à choisir un mot de passe fort.
Quel bon compteur mesure
Le comptage des types de personnages récompense « Mot de passe 1 ! » et punit une longue phrase secrète. Les estimateurs tels que le logiciel open source zxcvbn de Dropbox recherchent plutôt les modèles utilisés par les attaquants, reconnaissant des dizaines de milliers de mots de passe, de noms et de mots courants, et estiment dans quelle mesure le mot de passe est réellement devinable. Basez le compteur sur une estimation comme celle-là, ainsi que sur votre liste de blocage.
Concevoir le terrain
De petits détails déterminent si les gens réussissent :
- Autorisez le collage et le remplissage automatique pour que les gestionnaires de mots de passe fonctionnent.
- Proposez une bascule Afficher/Masquer au lieu d'un champ de confirmation du mot de passe lorsque vous le pouvez.
- Affichez les exigences avant de taper, puis suivez la progression au fur et à mesure que les gens tapent.
- Expliquez les refus en termes simples : « Ce mot de passe apparaît dans les violations connues. »
- Ne définissez pas une longueur maximale artificiellement basse.
Mouvement et feedback
Un compteur qui se remplit progressivement à mesure que le mot de passe s'améliore donne un retour encourageant et immédiat. Ne l'animez pas au point de distraire, n'utilisez pas de couleur seule (ajoutez une étiquette de texte telle que « Fort ») et évitez de secouer le champ pendant que les gens sont encore en train de taper.
Principes clés à retenir
- NIST : plus de 15 caractères pour les mots de passe à un seul facteur, au moins 64 autorisés
- Aucune règle de composition ; vérifiez plutôt une liste de blocage
- Estimer la devinabilité (par exemple avec zxcvbn), pas les types de caractères
- Autoriser les gestionnaires de collage et de mots de passe ; offre afficher/masquer
- Associez la couleur du compteur à une étiquette de texte
Questions fréquentes
Sources
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group