Passordstyrkemålere som faktisk hjelper: UX- og NIST-veiledning
Hvordan designe passordfelt og styrkemålere som følger gjeldende NIST-veiledning: lengde over symboler, blokkeringslister, lim- og passordadministratorer, og tydelig tilbakemelding.
Kjerne takeaway
Gjeldende NIST-veiledning (SP 800-63B) favoriserer lengde og blokkeringslister fremfor komposisjonsregler: passord som brukes alene må være på minst 15 tegn, tjenester bør tillate minst 64, og de må ikke kreve blandinger av tegntyper. En god styrkemåler estimerer reell gjetbarhet, belønner lengde, forklarer problemer med enkle ord og fungerer med lim- og passordadministratorer.
Hva NIST sier nå
NIST Special Publication 800-63B angir moderne passordregler for verifikatorer:
- Passord som brukes som eneste faktor må være på minst 15 tegn; passord som brukes i multifaktorautentisering kan være kortere, men minst 8.
- Tjenestene bør tillate en maksimal lengde på minst 64 tegn.
- Tjenester må ikke pålegge sammensetningsregler som å kreve blandinger av karaktertyper.
- Nye passord må kontrolleres mot en blokkeringsliste med vanlige, forventede eller kompromitterte verdier, med årsaken til avvisningen vist.
- Tjenester må tilby veiledning for å hjelpe folk med å velge et sterkt passord.
For en god måler
Å telle karaktertyper belønner "Passord1!" og straffer en lang passordfrase. Estimatorer som Dropbox sin åpne kildekode zxcvbn ser i stedet etter mønstre som angripere bruker, gjenkjenner titusenvis av vanlige passord, navn og ord, og anslår hvor gjettbart passordet egentlig er. Baser måleren på et slikt anslag, pluss blokkeringslisten din.
Designe feltet
Små detaljer avgjør om folk lykkes:
- Tillat lim inn og autofyll slik at passordbehandlere fungerer.
- Tilby en vis/skjul-bryter i stedet for et bekreftelsespassordfelt der du kan.
- Vis krav før du skriver, og lev deretter fremgang mens folk skriver.
- Forklar avvisninger med enkle ord: "Dette passordet vises ved kjente brudd."
- Ikke still inn en kunstig lav maksimal lengde.
Bevegelse og tilbakemelding
En måler som fylles jevnt etter hvert som passordet forbedres, gir oppmuntrende, umiddelbar tilbakemelding. Ikke animer det så mye at det distraherer, ikke bruk farger alene (legg til en tekstetikett som "Strong"), og unngå å riste feltet mens folk fortsatt skriver.
Tast Principles å huske
- NIST: 15+ tegn for enkeltfaktorpassord, minst 64 tillatt
- Ingen sammensetningsregler; sjekk mot en blokkeringsliste i stedet
- Estimer gjetbarhet (for eksempel med zxcvbn), ikke tegntyper
- Tillat lim- og passordbehandlere; tilby vis/skjul
- Par meterfarge med en tekstetikett
Ofte stilte spørsmål
Kilder
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group