Wachtwoordsterktemeters die daadwerkelijk helpen: UX- en NIST-begeleiding
Hoe u wachtwoordvelden en sterktemeters ontwerpt die de huidige NIST-richtlijnen volgen: lengte over symbolen, blokkeerlijsten, plak- en wachtwoordmanagers en duidelijke feedback.
Kern afhaalmaaltijd
De huidige NIST-richtlijnen (SP 800-63B) geven de voorkeur aan lengte en blokkeerlijsten boven samenstellingsregels: wachtwoorden die op zichzelf worden gebruikt, moeten minimaal 15 tekens bevatten, services moeten minimaal 64 tekens toestaan en ze mogen geen combinaties van tekentypen vereisen. Een goede krachtmeter schat de werkelijke raadbaarheid in, beloont lengte, legt problemen in gewone woorden uit en werkt met plak- en wachtwoordmanagers.
Wat NIST nu zegt
NIST speciale publicatie 800-63B bevat moderne wachtwoordregels voor verificateurs:
- Wachtwoorden die als enige factor worden gebruikt, moeten minimaal 15 tekens lang zijn; wachtwoorden die worden gebruikt binnen multi-factor authenticatie mogen korter zijn, maar minimaal 8.
- Services moeten een maximale lengte van minimaal 64 tekens toestaan.
- Diensten mogen geen compositieregels opleggen, zoals het vereisen van een combinatie van tekentypen.
- Nieuwe wachtwoorden moeten worden gecontroleerd aan de hand van een blokkeerlijst met veelvoorkomende, verwachte of gecompromitteerde waarden, waarbij de reden voor afwijzing wordt vermeld.
- Diensten moeten begeleiding bieden om mensen te helpen een sterk wachtwoord te kiezen.
Wat een goede meter meet
Het tellen van karaktertypes beloont "Wachtwoord1!" en bestraft een lange wachtwoordzin. Schattingsprogramma's zoals het open source zxcvbn van Dropbox zoeken in plaats daarvan naar patronen die aanvallers gebruiken, herkennen tienduizenden veelvoorkomende wachtwoorden, namen en woorden en schatten hoe raadbaar het wachtwoord werkelijk is. Baseer de meter op zo'n schatting, plus je blokkeerlijst.
Het veld ontwerpen
Kleine details bepalen of mensen slagen:
- Sta plakken en automatisch aanvullen toe, zodat wachtwoordmanagers werken.
- Bied waar mogelijk een schakelaar voor tonen/verbergen aan in plaats van een veld voor het bevestigen van het wachtwoord.
- Toon vereisten voordat u typt en beleef de voortgang terwijl mensen typen.
- Leg afwijzingen in duidelijke woorden uit: "Dit wachtwoord komt voor bij bekende inbreuken."
- Stel geen kunstmatig lage maximale lengte in.
Beweging en feedback
Een meter die soepel vult naarmate het wachtwoord verbetert, geeft bemoedigende, onmiddellijke feedback. Zorg ervoor dat er niet zo veel animatie in zit dat dit afleidt, gebruik niet alleen kleur (voeg een tekstlabel toe zoals 'Sterk') en schud het veld niet terwijl mensen nog aan het typen zijn.
Toets Principles in om te onthouden
- NIST: 15+ tekens voor wachtwoorden met één factor, minimaal 64 toegestaan
- Geen compositieregels; controleer in plaats daarvan een blokkeerlijst
- Schat de raadbaarheid (bijvoorbeeld met zxcvbn), geen tekentypen
- Sta plak- en wachtwoordbeheerders toe; aanbod tonen/verbergen
- Combineer de kleur van de meter met een tekstlabel
Veelgestelde vragen
Bronnen
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group