Jelszóerősségmérők, amelyek valóban segítenek: UX és NIST útmutató
Hogyan tervezzünk jelszómezőket és erősségmérőket, amelyek követik a jelenlegi NIST útmutatást: hosszúság a szimbólumokon, blokklistákon, beillesztés- és jelszókezelőkön, valamint egyértelmű visszajelzés.
Core Takeaway
A jelenlegi NIST útmutatás (SP 800-63B) előnyben részesíti a hosszúságot és a tiltólistákat az összeállítási szabályokkal szemben: az önmagukban használt jelszavaknak legalább 15 karakterből kell állniuk, a szolgáltatásoknak legalább 64 karakterből kell állniuk, és nem igényelhetik a karaktertípusok keverését. A jó szilárdságmérő megbecsüli a valós találgatást, jutalmazza a hosszt, egyszerű szavakkal magyarázza el a problémákat, és működik a beillesztés- és jelszókezelőkkel.
Amit most a NIST mond
A NIST 800-63B speciális kiadvány modern jelszószabályokat határoz meg a hitelesítők számára:
- Az egyedüli tényezőként használt jelszavaknak legalább 15 karakterből kell állniuk; A többtényezős hitelesítés során használt jelszavak rövidebbek is lehetnek, de legalább 8.
- A szolgáltatásoknak legalább 64 karakter hosszúságúnak kell lenniük.
- A szolgáltatások nem írhatnak elő összetételi szabályokat, például nem írhatnak elő karaktertípusok keverékét.
- Az új jelszavakat össze kell vetni a gyakori, várt vagy veszélyeztetett értékek blokklistájával, az elutasítás okának feltüntetésével.
- A szolgáltatásoknak útmutatást kell nyújtaniuk az erős jelszó kiválasztásához.
Milyen jó a mérő
A karaktertípusok számlálása a "Jelszó1!" és megbünteti a hosszú jelmondatot. A becslések, például a Dropbox nyílt forráskódú zxcvbn-je ehelyett a támadók által használt mintákat keresik, több tízezer gyakori jelszót, nevet és szót felismerve, és megbecsülik, mennyire kitalálható a jelszó valójában. Alapozza meg a mérőt egy ilyen becslésre, plusz a blokklistára.
Terület tervezése
Apró részletek döntik el, hogy az emberek sikeresek-e:
- Engedélyezze a beillesztést és az automatikus kitöltést, hogy a jelszókezelők működjenek.
- A megerősítő jelszó mező helyett kínáljon megjelenítés/elrejtés kapcsolót, ahol lehetséges.
- Gépelés előtt jelenítse meg a követelményeket, majd az emberek gépelésekor élőben haladjon.
- Magyarázza el az elutasításokat egyszerű szavakkal: "Ez a jelszó ismert jogsértések esetén jelenik meg."
- Ne állítson be mesterségesen alacsony maximális hosszúságot.
Mozgás és visszajelzés
A jelszó javításával zökkenőmentesen feltöltődő mérő biztató, azonnali visszajelzést ad. Ne animálja annyira, hogy elvonja a figyelmet, ne használjon csak színt (adjon hozzá szöveges címkét, például "Erős"), és ne rázza meg a mezőt, miközben az emberek még gépelnek.
Kulcs Principle, amit meg kell jegyezni
- NIST: 15+ karakter egyfaktoros jelszavakhoz, legalább 64 megengedett
- Nincsenek összetételi szabályok; ehelyett blokkolista ellenőrzi
- Becsülje meg a kitalálhatóságot (például a zxcvbn esetén), ne a karaktertípusokat
- Beillesztés- és jelszókezelők engedélyezése; ajánlat megjelenítése/elrejtése
- Párosítsa a mérő színét szöveges címkével
Gyakran Ismételt Kérdések
Források
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group