真正有幫助的密碼強度計：UX 和 NIST 指南

NIST 現在說什麼

NIST 特別出版物 800-63B 為驗證者規定了現代密碼規則：

• 用作唯一因素的密碼必須至少為 15 個字元；多重驗證中使用的密碼可能更短，但至少為 8 個。
• 服務允許的最大長度至少為 64 個字元。
• 服務不得強加組合規則，例如要求混合字元類型。
• 新密碼必須根據常見值、預期值或洩漏值的封鎖清單進行檢查，並顯示拒絕的原因。
• 服務必須提供指導來幫助人們選擇強密碼。

好的儀表可以測量什麼

計算字元類型獎勵“Password1！”並懲罰長密碼。相反，Dropbox 的開源 zxcvbn 等估算器會尋找攻擊者使用的模式，識別數以萬計的常見密碼、名稱和單詞，並估算密碼的真實可猜測性。計量表是基於這樣的估計，加上你的黑名單。

設計場地

小細節決定人是否成功：

• 允許貼上和自動填充，以便密碼管理器正常工作。
• 盡可能提供顯示/隱藏切換而不是確認密碼欄位。
• 在鍵入之前顯示要求，然後在人們鍵入時即時顯示進度。
• 用簡單的話解釋拒絕：“此密碼出現在已知的違規行為中。”
• 不要人為地設定較低的最大長度。

運動和回饋

隨著密碼的改進，儀表會順利填充，從而提供令人鼓舞的即時回饋。不要對其進行過多的動畫處理，以免分散注意力，不要單獨使用顏色（添加文字標籤，例如“強”），並避免在人們仍在打字時晃動字段。