Merače sily hesla, ktoré skutočne pomáhajú: Usmernenie UX a NIST
Ako navrhnúť polia hesiel a merače sily, ktoré sa riadia aktuálnymi pokynmi NIST: dĺžka cez symboly, zoznamy blokovaných položiek, správcovia vkladania a hesiel a jasná spätná väzba.
Core Takeaway
Súčasné usmernenia NIST (SP 800-63B) uprednostňujú dĺžku a blokové zoznamy pred pravidlami skladania: heslá používané samostatne musia mať aspoň 15 znakov, služby by mali umožňovať aspoň 64 znakov a nesmú vyžadovať kombináciu typov znakov. Dobrý merač sily odhaduje skutočnú uhádnuteľnosť, odmeňuje dĺžku, vysvetľuje problémy jednoduchými slovami a spolupracuje so správcami vkladania a hesiel.
Čo teraz hovorí NIST
Špeciálna publikácia NIST 800-63B stanovuje moderné pravidlá hesiel pre overovateľov:
- Heslá používané ako jediný faktor musia mať aspoň 15 znakov; heslá používané v rámci viacfaktorovej autentifikácie môžu byť kratšie, ale aspoň 8.
- Služby by mali umožňovať maximálnu dĺžku aspoň 64 znakov.
- Služby nesmú ukladať pravidlá zloženia, ako je požiadavka na kombináciu typov postáv.
- Nové heslá musia byť porovnané s blokovaným zoznamom bežných, očakávaných alebo kompromitovaných hodnôt s uvedením dôvodu odmietnutia.
- Služby musia poskytovať poradenstvo, ktoré ľuďom pomôže vybrať si silné heslo.
Aký dobrý meter meria
Počítanie typov postáv odmeny "Heslo1!" a trestá dlhú prístupovú frázu. Odhadcovia, ako napríklad open-source zxcvbn Dropboxu, namiesto toho hľadajú vzory, ktoré útočníci používajú, rozpoznávajú desiatky tisíc bežných hesiel, mien a slov a odhadujú, aké uhádnuteľné je heslo. Založte merač na takomto odhade a na vašom zozname blokovaných položiek.
Navrhovanie poľa
O úspechu ľudí rozhodujú malé detaily:
- Povoľte prilepenie a automatické dopĺňanie, aby správcovia hesiel fungovali.
- Ak je to možné, ponúknite namiesto poľa pre potvrdenie hesla prepínač zobrazenia/skrytia.
- Pred písaním ukážte požiadavky a potom naživo postupujte pri písaní.
- Odmietnutia vysvetlite jednoduchými slovami: "Toto heslo sa objavuje pri známych porušeniach."
- Nenastavujte umelo nízku maximálnu dĺžku.
Pohyb a spätná väzba
Merač, ktorý sa hladko napĺňa pri zlepšovaní hesla, poskytuje povzbudzujúcu okamžitú spätnú väzbu. Neanimujte ho natoľko, aby to rozptyľovalo, nepoužívajte iba farbu (pridajte textový štítok, napríklad „Silný“), a vyhýbajte sa traseniu poľa, kým ľudia stále píšu.
Kľúč Principle na zapamätanie
- NIST: 15+ znakov pre jednofaktorové heslá, najmenej 64 povolených
- Žiadne pravidlá zloženia; namiesto toho skontrolujte zoznam blokovaných položiek
- Odhadnite uhádnuteľnosť (napríklad pomocou zxcvbn), nie typy znakov
- Povoliť správcov vkladania a hesiel; ponuka zobraziť/skryť
- Spárujte farbu merača s textovým štítkom
Často kladené otázky
Zdroje
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group