Medidores de força de senha que realmente ajudam: orientação UX e NIST
Como projetar campos de senha e medidores de força que sigam as orientações atuais do NIST: comprimento sobre símbolos, listas de bloqueio, gerenciadores de colagem e senha e feedback claro.
Ponto principal
A orientação atual do NIST (SP 800-63B) favorece o tamanho e as listas de bloqueio em vez das regras de composição: as senhas usadas isoladamente devem ter pelo menos 15 caracteres, os serviços devem permitir pelo menos 64 e não devem exigir combinações de tipos de caracteres. Um bom medidor de força estima a capacidade real de adivinhação, recompensa a duração, explica os problemas em palavras simples e funciona com gerenciadores de pastas e senhas.
O que NIST diz agora
A publicação especial NIST 800-63B estabelece regras modernas de senha para verificadores:
- As senhas utilizadas como único fator devem ter no mínimo 15 caracteres; as senhas usadas na autenticação multifator podem ser mais curtas, mas pelo menos 8.
- Os serviços devem permitir um comprimento máximo de pelo menos 64 caracteres.
- Os serviços não devem impor regras de composição, como exigir combinações de tipos de caracteres.
- As novas senhas devem ser verificadas em relação a uma lista de bloqueio de valores comuns, esperados ou comprometidos, com o motivo da rejeição mostrado.
- Os serviços devem oferecer orientação para ajudar as pessoas a escolher uma senha forte.
Que bom medidor mede
Contar tipos de caracteres recompensa "Senha1!" e pune uma senha longa. Estimadores como o zxcvbn de código aberto do Dropbox procuram padrões usados pelos invasores, reconhecendo dezenas de milhares de senhas, nomes e palavras comuns, e estimam o quão adivinhada a senha realmente é. Baseie o medidor em uma estimativa como essa, além de sua lista de bloqueio.
Projetando o campo
Pequenos detalhes decidem se as pessoas terão sucesso:
- Permitir colar e preencher automaticamente para que os gerenciadores de senhas funcionem.
- Ofereça um botão mostrar/ocultar em vez de um campo de confirmação de senha sempre que possível.
- Mostre os requisitos antes de digitar e, em seguida, registre o progresso conforme as pessoas digitam.
- Explique as rejeições em palavras simples: “Esta senha aparece em violações conhecidas”.
- Não defina um comprimento máximo artificialmente baixo.
Movimento e feedback
Um medidor que preenche suavemente à medida que a senha melhora fornece feedback imediato e encorajador. Não anime tanto a ponto de distrair, não use apenas cores (adicione um rótulo de texto como "Forte") e evite agitar o campo enquanto as pessoas ainda estão digitando.
Princípios-chave para lembrar
- NIST: mais de 15 caracteres para senhas de fator único, pelo menos 64 permitidos
- Sem regras de composição; verifique em uma lista de bloqueio
- Estime a adivinhação (por exemplo, com zxcvbn), não os tipos de caracteres
- Permitir gerenciadores de colagem e senha; oferecer mostrar/ocultar
- Combine a cor do medidor com um rótulo de texto
Perguntas frequentes
Fontes
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group