Misuratori di sicurezza della password che aiutano davvero: linee guida UX e NIST
Come progettare campi password e misuratori di forza che seguano le attuali linee guida NIST: lunghezza sui simboli, liste bloccate, gestori di incolla e password e feedback chiaro.
Punto chiave
L'attuale guida NIST (SP 800-63B) favorisce la lunghezza e le liste bloccate rispetto alle regole di composizione: le password utilizzate da sole devono contenere almeno 15 caratteri, i servizi dovrebbero consentirne almeno 64 e non devono richiedere combinazioni di tipi di caratteri. Un buon misuratore di forza stima la reale indovinabilità, premia la durata, spiega i problemi in parole semplici e funziona con i gestori di incolla e password.
Cosa dice ora NIST
La pubblicazione speciale NIST 800-63B stabilisce le moderne regole sulle password per i verificatori:
- Le password utilizzate come unico fattore devono contenere almeno 15 caratteri; le password utilizzate nell'autenticazione a più fattori possono essere più brevi ma almeno 8.
- I servizi devono consentire una lunghezza massima di almeno 64 caratteri.
- I servizi non devono imporre regole di composizione come la richiesta di combinazioni di tipi di caratteri.
- Le nuove password devono essere confrontate con una lista bloccata di valori comuni, previsti o compromessi, con il motivo del rifiuto mostrato.
- I servizi devono offrire indicazioni per aiutare le persone a scegliere una password complessa.
Che buon metro misura
Contando i tipi di carattere viene premiato "Password1!" e punisce una passphrase lunga. Gli stimatori come zxcvbn open source di Dropbox cercano invece i modelli utilizzati dagli aggressori, riconoscendo decine di migliaia di password, nomi e parole comuni e stimano quanto sia realmente indovinabile la password. Basa il misuratore su una stima del genere, oltre alla tua lista nera.
Progettare il campo
Piccoli dettagli decidono se le persone hanno successo:
- Consenti l'incollamento e il riempimento automatico in modo che i gestori di password funzionino.
- Offri un'opzione mostra/nascondi invece di un campo di conferma password dove puoi.
- Mostra i requisiti prima di digitare, quindi vivi i progressi mentre le persone digitano.
- Spiega i rifiuti in parole semplici: "Questa password appare in violazioni note".
- Non impostare una lunghezza massima artificialmente bassa.
Movimento e feedback
Un misuratore che si riempie gradualmente man mano che la password migliora fornisce un feedback incoraggiante e immediato. Non animarlo così tanto da distrarlo, non usare solo il colore (aggiungi un'etichetta di testo come "Forte") ed evita di scuotere il campo mentre le persone stanno ancora digitando.
Principi chiave da ricordare
- NIST: 15+ caratteri per password a fattore singolo, almeno 64 consentiti
- Nessuna regola di composizione; confronta invece con una lista bloccata
- Stima l'indovinabilità (ad esempio con zxcvbn), non i tipi di carattere
- Consenti gestori di incolla e password; offerta mostra/nascondi
- Associa il colore del misuratore a un'etichetta di testo
Domande frequenti
Fonti
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group