Máy đo cường độ mật khẩu thực sự hữu ích: Hướng dẫn UX và NIST

NIST hiện nói gì

NIST Ấn phẩm Đặc biệt 800-63B đặt ra các quy tắc mật khẩu hiện đại cho người xác minh:

• Mật khẩu được sử dụng làm yếu tố duy nhất phải có ít nhất 15 ký tự; mật khẩu được sử dụng trong xác thực đa yếu tố có thể ngắn hơn nhưng ít nhất là 8.
• Dịch vụ phải cho phép độ dài tối đa ít nhất là 64 ký tự.
• Dịch vụ không được áp đặt các quy tắc thành phần như yêu cầu kết hợp các loại ký tự.
• Mật khẩu mới phải được kiểm tra dựa trên danh sách chặn gồm các giá trị phổ biến, dự kiến ​​hoặc bị xâm phạm, kèm theo lý do từ chối được hiển thị.
• Các dịch vụ phải cung cấp hướng dẫn để giúp mọi người chọn mật khẩu mạnh.

Thật là một thước đo tốt

Đếm các loại nhân vật sẽ thưởng "Password1!" và trừng phạt một cụm mật khẩu dài. Thay vào đó, các công cụ ước tính như zxcvbn mã nguồn mở của Dropbox sẽ tìm kiếm các mẫu mà kẻ tấn công sử dụng, nhận dạng hàng chục nghìn mật khẩu, tên và từ phổ biến, đồng thời ước tính mức độ thực sự có thể đoán được của mật khẩu. Căn cứ vào số liệu ước tính như vậy, cộng với danh sách chặn của bạn.

Thiết kế lĩnh vực

Những chi tiết nhỏ quyết định người ta có thành công hay không:

• Cho phép dán và tự động điền để trình quản lý mật khẩu hoạt động.
• Cung cấp nút chuyển đổi hiển thị/ẩn thay vì trường xác nhận mật khẩu nếu bạn có thể.
• Hiển thị yêu cầu trước khi nhập, sau đó trực tiếp tiến trình khi mọi người nhập.
• Giải thích những lời từ chối bằng từ ngữ đơn giản: "Mật khẩu này xuất hiện trong những hành vi vi phạm đã biết."
• Không đặt độ dài tối đa thấp một cách giả tạo.

Chuyển động và phản hồi

Đồng hồ đo hoạt động trơn tru khi mật khẩu được cải thiện sẽ mang lại phản hồi đáng khích lệ, ngay lập tức. Không tạo hoạt ảnh quá nhiều đến mức gây mất tập trung, không chỉ sử dụng màu sắc (thêm nhãn văn bản chẳng hạn như "Mạnh") và tránh làm rung trường trong khi mọi người vẫn đang nhập.