Contoare de putere a parolei care ajută de fapt: ghid UX și NIST
Cum să proiectați câmpuri de parole și contoare de putere care urmează îndrumările actuale NIST: lungime peste simboluri, liste blocate, manageri de lipire și parole și feedback clar.
Core Takeaway
Îndrumările actuale NIST (SP 800-63B) preferă lungimea și listele de blocare față de regulile de compunere: parolele utilizate singure trebuie să aibă cel puțin 15 caractere, serviciile ar trebui să permită cel puțin 64 și nu trebuie să necesite combinații de tipuri de caractere. Un contor bun de putere estimează capacitatea reală de ghicire, recompensează lungimea, explică problemele în cuvinte simple și funcționează cu manageri de lipire și parole.
Ce spune acum NIST
Publicația specială NIST 800-63B stabilește reguli moderne de parole pentru verificatori:
- Parolele utilizate ca singur factor trebuie să aibă cel puțin 15 caractere; parolele utilizate în cadrul autentificării cu mai mulți factori pot fi mai scurte, dar cel puțin 8.
- Serviciile ar trebui să permită o lungime maximă de cel puțin 64 de caractere.
- Serviciile nu trebuie să impună reguli de compunere, cum ar fi solicitarea de combinații de tipuri de caractere.
- Noile parole trebuie verificate cu o listă blocată de valori comune, așteptate sau compromise, cu motivul respingerii afișat.
- Serviciile trebuie să ofere îndrumări pentru a ajuta oamenii să aleagă o parolă puternică.
Ce metru bun măsoară
Numărarea tipurilor de caractere recompense „Parola1!” și pedepsește o expresie de acces lungă. Estimatorii precum zxcvbn de la Dropbox caută în schimb modelele pe care le folosesc atacatorii, recunoscând zeci de mii de parole, nume și cuvinte comune și estimează cât de ghicibilă este parola cu adevărat. Bazați contorul pe o astfel de estimare, plus lista dvs. de blocare.
Proiectarea terenului
Detaliile mici decid dacă oamenii reușesc:
- Permite lipirea și completarea automată, astfel încât managerii de parole să funcționeze.
- Oferiți o comutare de afișare/ascundere în loc de un câmp de confirmare a parolei, acolo unde puteți.
- Afișați cerințele înainte de a tasta, apoi live progresul pe măsură ce oamenii scriu.
- Explicați respingerile în cuvinte simple: „Această parolă apare în încălcări cunoscute”.
- Nu setați o lungime maximă redusă artificial.
Mișcare și feedback
Un contor care se umple fără probleme pe măsură ce parola se îmbunătățește oferă un feedback încurajator și imediat. Nu o animați atât de mult încât să distrage atenția, nu folosiți doar culoarea (adăugați o etichetă text, cum ar fi „Puternic”) și evitați să scuturați câmpul în timp ce oamenii încă tastează.
Cheie Principles de reținut
- NIST: 15+ caractere pentru parole cu un singur factor, cel puțin 64 permise
- Fără reguli de compoziție; verificați în schimb cu o listă de blocare
- Estimați ghicibilitatea (de exemplu, cu zxcvbn), nu tipurile de caractere
- Permite administratorii de lipire și parole; oferă afișare/ascundere
- Asociați culoarea contorului cu o etichetă text
Întrebări frecvente
Surse
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group