Gerçekten Yardımcı Olan Şifre Gücü Ölçerler: UX ve NIST Rehberi
Mevcut NIST kılavuzunu takip eden şifre alanları ve güç ölçümleri nasıl tasarlanır: sembollerin uzunluğu, engellenenler listeleri, yapıştırma ve şifre yöneticileri ve net geri bildirim.
Ana nokta
Mevcut NIST kılavuzu (SP 800-63B), oluşturma kuralları yerine uzunluğu ve engellenenler listelerini tercih eder: kendi başına kullanılan şifreler en az 15 karakterden oluşmalı, hizmetler en az 64 karaktere izin vermeli ve karakter türlerinin karışımını gerektirmemelidir. İyi bir güç ölçer, gerçek tahmin edilebilirliği tahmin eder, uzunluğu ödüllendirir, sorunları basit kelimelerle açıklar ve yapıştırma ve şifre yöneticileriyle çalışır.
NIST şimdi ne diyor?
NIST Özel Yayın 800-63B, doğrulayıcılar için modern şifre kurallarını belirler:
- Tek faktör olarak kullanılan şifreler en az 15 karakter olmalıdır; Çok faktörlü kimlik doğrulamada kullanılan şifreler daha kısa ancak en az 8 olabilir.
- Hizmetler en az 64 karakterlik maksimum uzunluğa izin vermelidir.
- Hizmetler, karakter türlerinin karışımını gerektirme gibi kompozisyon kuralları uygulamamalıdır.
- Yeni şifreler, reddedilme nedeni gösterilerek ortak, beklenen veya güvenliği ihlal edilmiş değerlerin yer aldığı bir engelleme listesiyle karşılaştırılarak kontrol edilmelidir.
- Hizmetler, insanların güçlü bir şifre seçmesine yardımcı olacak rehberlik sunmalıdır.
Ne kadar iyi bir sayaç ölçer
Karakter türlerini saymak, "Şifre1!" ödülünü verir. ve uzun bir parolayı cezalandırır. Dropbox'ın açık kaynaklı zxcvbn gibi tahmin araçları bunun yerine saldırganların kullandığı kalıpları arar, on binlerce ortak şifreyi, adı ve kelimeyi tanır ve şifrenin gerçekte ne kadar tahmin edilebilir olduğunu tahmin eder. Ölçüm aletini bunun gibi bir tahmine ve engellenenler listenize dayandırın.
Alanı tasarlamak
İnsanların başarılı olup olmayacağını küçük ayrıntılar belirler:
- Parola yöneticilerinin çalışması için yapıştırma ve otomatik doldurmaya izin verin.
- Yapabileceğiniz bir şifreyi onayla alanı yerine göster/gizle seçeneğini sunun.
- Yazmadan önce gereksinimleri gösterin, ardından insanlar yazarken ilerlemeyi canlı izleyin.
- Reddedilmeleri basit kelimelerle açıklayın: "Bu şifre bilinen ihlallerde görünüyor."
- Yapay olarak düşük bir maksimum uzunluk ayarlamayın.
Hareket ve geri bildirim
Parola geliştikçe sorunsuz bir şekilde dolan bir sayaç, teşvik edici ve anında geri bildirim sağlar. Dikkat dağıtacak kadar animasyon yapmayın, rengi tek başına kullanmayın ("Güçlü" gibi bir metin etiketi ekleyin) ve insanlar hala yazarken alanı sallamaktan kaçının.
Hatırlanacak temel ilkeler
- NIST: Tek faktörlü şifreler için 15+ karakter, en az 64 karaktere izin verilir
- Kompozisyon kuralı yok; bunun yerine engellenenler listesine bakın
- Karakter türlerini değil, tahmin edilebilirliği tahmin edin (örneğin zxcvbn ile)
- Yapıştırma ve şifre yöneticilerine izin ver; teklif göster/gizle
- Metre rengini bir metin etiketiyle eşleştirme
Sık sorulan sorular
Kaynaklar
- NIST SP 800-63B: Authentication and Authenticator Management — NIST
- zxcvbn: low-budget password strength estimation — GitHub (Dropbox)
- Error-Message Guidelines — Nielsen Norman Group