Mierniki siły hasła, które faktycznie pomagają: wskazówki dotyczące UX i NIST

Co teraz mówi NIST

Publikacja specjalna NIST 800-63B określa nowoczesne zasady dotyczące haseł dla weryfikatorów:

• Hasła używane jako jedyny czynnik muszą mieć co najmniej 15 znaków; hasła używane w ramach uwierzytelniania wieloskładnikowego mogą być krótsze, ale co najmniej 8.
• Usługi powinny umożliwiać maksymalną długość co najmniej 64 znaków.
• Usługi nie mogą narzucać zasad kompozycji, takich jak wymaganie kombinacji typów znaków.
• Nowe hasła należy sprawdzić na liście blokowanych wartości typowych, oczekiwanych lub naruszonych, podając powód odrzucenia.
• Usługi muszą oferować wskazówki pomagające użytkownikom wybrać silne hasło.

Cóż za dobry miernik mierzy

Zliczanie nagród za typy postaci „Hasło1!” i karze długie hasło. Zamiast tego narzędzia szacunkowe, takie jak zxcvbn o otwartym kodzie źródłowym Dropbox, wyszukują wzorce używane przez atakujących, rozpoznając dziesiątki tysięcy typowych haseł, nazw i słów oraz szacując, na ile rzeczywiście hasło jest odgadnięte. Oprzyj licznik na takich szacunkach i liście zablokowanych.

Projektowanie pola

Drobne szczegóły decydują o tym, czy ludzie odniosą sukces:

• Zezwól na wklejanie i automatyczne wypełnianie, aby menedżery haseł działały.
• Tam, gdzie to możliwe, zaoferuj przełącznik pokaż/ukryj zamiast pola potwierdzenia hasła.
• Pokaż wymagania przed rozpoczęciem pisania, a następnie śledź postępy w miarę pisania.
• Wyjaśnij odrzucenie prostymi słowami: „To hasło pojawia się w przypadku znanych naruszeń”.
• Nie ustawiaj sztucznie zaniżonej długości maksymalnej.

Ruch i informacja zwrotna

Licznik, który zapełnia się płynnie w miarę poprawy hasła, zapewnia zachęcającą, natychmiastową informację zwrotną. Nie animuj go tak bardzo, aby rozpraszał, nie używaj samego koloru (dodaj etykietę tekstową, np. „Silny”) i unikaj potrząsania polem, gdy ludzie nadal piszą.