पासवर्ड स्ट्रेंथ मीटर जो वास्तव में मदद करते हैं: UX और NIST मार्गदर्शन

NIST अब क्या कहता है

NIST विशेष प्रकाशन 800-63B सत्यापनकर्ताओं के लिए आधुनिक पासवर्ड नियम निर्धारित करता है:

• एकमात्र कारक के रूप में उपयोग किए जाने वाले पासवर्ड कम से कम 15 अक्षर के होने चाहिए; मल्टी-फैक्टर प्रमाणीकरण के भीतर उपयोग किए जाने वाले पासवर्ड छोटे हो सकते हैं लेकिन कम से कम 8।
• सेवाओं को कम से कम 64 वर्णों की अधिकतम लंबाई की अनुमति देनी चाहिए।
• सेवाओं को वर्ण प्रकारों के मिश्रण की आवश्यकता जैसे रचना नियम लागू नहीं करने चाहिए।
• नए पासवर्ड को सामान्य, अपेक्षित या समझौता किए गए मानों की ब्लॉकलिस्ट के विरुद्ध जांचा जाना चाहिए, जिसमें अस्वीकृति का कारण भी दर्शाया गया हो।
• सेवाओं को लोगों को एक मजबूत पासवर्ड चुनने में मदद करने के लिए मार्गदर्शन देना चाहिए।

कितना अच्छा मीटर मापता है

वर्ण प्रकारों की गणना करने पर पुरस्कार "पासवर्ड1!" और एक लंबे पासफ़्रेज़ को दंडित करता है। ड्रॉपबॉक्स के ओपन-सोर्स zxcvbn जैसे अनुमानकर्ता इसके बजाय हमलावरों द्वारा उपयोग किए जाने वाले पैटर्न की तलाश करते हैं, हजारों सामान्य पासवर्ड, नाम और शब्दों को पहचानते हैं, और अनुमान लगाते हैं कि पासवर्ड वास्तव में कितना अनुमान लगाने योग्य है। मीटर को इस तरह के अनुमान के साथ-साथ अपनी ब्लॉकलिस्ट पर आधारित करें।

फ़ील्ड डिज़ाइन करना

छोटे विवरण तय करते हैं कि लोग सफल होते हैं या नहीं:

• पेस्ट और ऑटोफ़िल की अनुमति दें ताकि पासवर्ड मैनेजर काम करें।
• जहाँ भी संभव हो, पुष्टि-पासवर्ड फ़ील्ड के बजाय दिखाएँ/छिपाएँ टॉगल की पेशकश करें।
• टाइप करने से पहले आवश्यकताएँ दिखाएँ, फिर लोगों के टाइप करने पर प्रगति को लाइव करें।
• अस्वीकृतियों को स्पष्ट शब्दों में स्पष्ट करें: "यह पासवर्ड ज्ञात उल्लंघनों में प्रकट होता है।"
• कृत्रिम रूप से कम अधिकतम लंबाई निर्धारित न करें.

प्रस्ताव और प्रतिक्रिया

एक मीटर जो पासवर्ड में सुधार होने पर आसानी से भर जाता है, उत्साहजनक, तत्काल प्रतिक्रिया देता है। इसे इतना एनिमेट न करें कि यह ध्यान भटका दे, अकेले रंग का उपयोग न करें ("स्ट्रॉन्ग" जैसे टेक्स्ट लेबल जोड़ें), और जब लोग टाइप कर रहे हों तो फ़ील्ड को हिलाने से बचें।