ข้อกำหนดรหัสผ่านที่สมเหตุสมผลและปลอดภัยสำหรับการลงทะเบียนผู้ใช้คืออะไร

นี่เป็นนโยบายรหัสผ่านที่ฉันได้รับจาก UPS (สำหรับการตรวจสอบสถานะแพ็คเกจ):

รหัสผ่านของคุณจะต้องมีความยาวระหว่าง 8 และ 26 อักขระ ต้องมีประเภทอักขระอย่างน้อยสามชนิดต่อไปนี้: ตัวอักษรตัวพิมพ์เล็กตัวพิมพ์ใหญ่ตัวเลขตัวอักษรพิเศษหรือช่องว่าง รหัสผ่านต้องไม่มี ID ผู้ใช้ชื่อหรือที่อยู่อีเมลของคุณ (SSO_1007)

ที่จริงฉันต้องพินาศสมองของฉันบ้างเพื่อสร้างรหัสผ่านนี้ แต่ไม่เพียงเท่านั้นที่สำคัญที่สุดคือฉันแน่ใจว่าหลังจาก 3 วันฉันจะลืมรหัสผ่านนี้ ผู้ใช้จะไม่มีความสุขมาก การรีเซ็ตรหัสผ่านสามารถทำได้บ่อยครั้ง ฉันคิดว่าผู้ใช้จะพยายามหลีกเลี่ยงการใช้เว็บไซต์เว้นแต่พวกเขาจะต้อง

นโยบายรหัสผ่านที่สมเหตุสมผลและปลอดภัยเมื่อตั้งค่าเว็บไซต์เป็นอย่างไร ฉันคิดว่าบาง บริษัท อาจกลัวแฮกเกอร์ที่พยายามใช้รหัสผ่านเป็นล้านครั้งหรือมากกว่าดังนั้นพวกเขาจึงเพิ่มข้อกำหนดทั้งหมดสำหรับ "อักขระพิเศษตัวพิมพ์เล็กตัวพิมพ์ใหญ่" แต่จะไม่เหมาะสมที่จะปิดบัญชีหรือปิดการใช้งาน รหัสผ่านและต้องการรีเซ็ตรหัสผ่านหากผู้ใช้ลอง 30 ครั้งหรือ 100 ครั้ง? หรือเพิ่มการหน่วงเวลา 5 วินาทีในแต่ละครั้งหลังจากผู้ใช้ลอง 30 ครั้งหรือไม่ ถ้าเป็นเช่นนั้นแล้วตัวละครพิเศษเหล่านั้นก็ไม่จำเป็นเท่าไหร่

ความซื่อสัตย์ฉันพบว่ามีข้อกำหนดรหัสผ่านที่เข้มงวดเพื่อสร้างความรำคาญและไม่เป็นประโยชน์ ฉันจะบอกว่าเป็นกฎที่เหมาะสมที่สุดคือการระบุความยาวอาจอักขระพิเศษ + ตัวอักษรและตัวเลข มีอะไรอีกที่ขอให้ผู้คนเขียนรหัสผ่านซึ่งเอาชนะวัตถุประสงค์ทั้งหมดของการมีรหัสผ่านที่ปลอดภัย ฉันเกลียดที่จะต้องเปลี่ยนรหัสผ่านของคุณทุก ๆ วันโดยใช้กฎที่ไร้สาระ (เช่นไม่สามารถใช้รหัสผ่าน 25 ครั้งล่าสุดได้) - อีกครั้งสิ่งที่ทำให้ผู้คนต้องเขียนสิ่งนี้ลงเพื่อไม่ให้ลืม จุดไหนที่คุณอาจไม่ถามรหัสผ่านเลย

ความคิดเห็นของฉันคือรหัสผ่านควรมีความยาวที่กำหนดเท่านั้น คุณไม่ต้องการให้ใครใส่ "a" เป็นรหัสผ่านของพวกเขา และเช่นเดียวกับคำตอบ xkcd แสดงว่ารหัสผ่านที่จำได้ยากมากนั้นไม่ปลอดภัยเสมอไป อนุญาตให้ผู้คนเปลี่ยนรหัสผ่านของตนด้วยเสมอ และลืมเรื่อง "คุณไม่สามารถใช้อักขระใด ๆ ที่มีอยู่ในรหัสผ่านก่อนหน้าของคุณ" ได้

การกำหนดนโยบายรหัสผ่านที่ลามกอนาจารจะเป็นอันตรายมากกว่าดี ที่วิทยาลัยฉันไปที่นโยบายรหัสผ่านคล้ายกับนโยบายของ UPS และคุณต้องเปลี่ยนทุก 2 สัปดาห์และคุณไม่สามารถใช้รหัสผ่าน 50 รหัสก่อนหน้านี้ที่คุณใช้ ดังนั้นสิ่งที่ครูของฉันแนะนำเมื่อตั้งค่าบัญชีเราคือการใช้รหัสผ่านปกติของเราที่สอดคล้องกับกฎและเพิ่มตัวนับที่ส่วนท้ายของมันและใส่รหัสผ่านของคุณเพื่อบอกใบ้ว่าหมายเลขตัวนับคืออะไร

นอกจากนี้นโยบายรหัสผ่านที่เข้มงวดจะไม่ทำอะไรเลยเมื่อใดก็ตามที่ฐานข้อมูลข้อความธรรมดาของคุณถูกแฮ็คโดยการฉีดข้อผิดพลาด SQL ... หรือคุณส่งรหัสผ่านอีเมลถึงผู้ใช้ของคุณและมันจะถูกดัก ..

โดยพื้นฐานแล้วอย่าทำให้ระบบรหัสผ่านของคุณยุ่งยากสำหรับผู้ใช้ของคุณหรือจะเป็นการกระตุ้นให้พวกเขาทำสิ่งที่ไม่ปลอดภัยเพื่อให้พวกเขาสามารถแก้ไขได้ ตัวอย่างเช่น บริษัท ของฉันเมื่อรับเซิร์ฟเวอร์เฉพาะจากศูนย์ข้อมูลพวกเขาตั้งค่ารหัสผ่านที่มีความยาว 20 อักขระ พวกเขาปลอดภัยเกินกว่าจะส่งอีเมลถึงเราและต้องส่งแฟกซ์ เราไม่สามารถเปลี่ยนรหัสผ่านเพียงขอให้สร้างรหัสผ่าน 20 ตัวใหม่เท่านั้น และมันเป็นวิธีนี้สำหรับผู้ใช้ทุกคน ... ดังนั้นสิ่งที่เราทำคือการสร้างเอกสารข้อความบนเดสก์ท็อปของเราด้วยรหัสผ่าน นอกจากนี้เราจะไม่ใช้อีกต่อไปเพราะสำหรับ "ความปลอดภัย" ที่พวกเขามีพวกเขาค่อนข้างไม่ปลอดภัยจริงๆ

อย่าลืมเว้นช่องว่าง ทุกคนที่ฉันรู้จักสามารถพิมพ์วลีสั้น ๆ ได้เร็วกว่าที่พวกเขาจะสามารถพิมพ์อักษรตัวแรกของแต่ละคำในวลีนั้นได้ เช่นการพิมพ์ลองแล้วBird in a Tree BiaTนี่เป็นข้อได้เปรียบที่ว่าถ้าคุณเขียนวลีที่เหมาะสมเช่นpick Up milkหรือMeetings all dayบนโน้ตซึ่งคลุมเครือมันก็ไม่ได้เป็นรหัสผ่าน

ฉันไม่ใช่แฟนตัวยงของกฎ "คุณต้องมีตัวเลขและสัญลักษณ์" แต่ถ้าคุณใช้มันอย่างสม่ำเสมอ (เช่นฉันคือ 1 เสมอ a คือเสมอ @) จากนั้นคุณยังสามารถเขียนวลีภาษาอังกฤษที่เหนียวได้ กฎที่เป็นที่รู้จักเฉพาะสำหรับคุณเท่านั้นที่จะพูดและป้อนB1rd in @ treeในกล่องโต้ตอบรหัสผ่าน จากมุมมองด้านความปลอดภัยตัวเลขและสัญลักษณ์ไม่ได้เพิ่มขึ้นมากมาย แต่ไม่จำเป็นต้องทำให้คุณคลั่งไคล้ในฐานะผู้ใช้

ไซต์ที่มีความยาวรหัสผ่านสูงสุดจะทำให้ฉันประหลาดใจหากวลีที่ดีของฉันถือว่า "ยาวเกินไป" 26 ดูเหมือนว่าสมเหตุสมผล ฉันเข้าใจว่ามีบางคนต้องออกแบบความกว้างของคอลัมน์ แต่ 12 คนนั้นสั้นมาก

ปลอดภัยและสะดวกสบาย

นโยบายความปลอดภัยของรหัสผ่านควรเหมาะสมกับค่าใช้จ่ายในการประนีประนอม หากเว็บไซต์ของคุณหน้าบัญชีการเงินของฉันฉันต้องการการป้องกันด้วยรหัสผ่านที่เข้มงวด หากเป็นเว็บไซต์แฟนคลับเฉพาะเกี่ยวกับบอทส์คุณไม่จำเป็นต้องมีการป้องกันมากนัก

กฎของ UPS มีความเหมาะสมยกเว้น:

• ความยาวสูงสุดเล็กเกินไป คุณควรอำนวยความสะดวกในการใช้ข้อความรหัสผ่านซึ่งง่ายต่อการจดจำและปลอดภัยยิ่งขึ้น

ฉันไม่เห็นการรีเซ็ตหลังจากลองจำนวน X ในกฎที่ยกมาฉันคิดว่านี่เป็นเรื่องโง่ในกรณีส่วนใหญ่ ฉันคิดว่าคุณดีกว่าที่จะปิดกั้นบางคนในช่วงระยะเวลาหนึ่งแทนที่จะบังคับให้รีเซ็ต สิ่งนี้แสดงถึงระดับความปลอดภัยระดับหนึ่ง ถ้าไม่จำเป็นก็ไม่ได้และการล็อค / รีเซ็ตเป็นจุดที่สงสัย

มีกฎนโยบายรหัสผ่านมากมายที่ให้ประโยชน์ด้านความปลอดภัยเพียงเล็กน้อย อย่างไรก็ตามยังมีกฎที่ให้ประโยชน์ที่แท้จริงและเป็นรูปธรรมต่อความปลอดภัยของรหัสผ่านของคุณ

กฎ (และเหตุผล):

• ความยาวขั้นต่ำ

ป้องกันการทดลองแบบ combinatorial และการโจมตีที่ผิดพลาดซึ่งจะทำลายรหัสผ่านที่สั้นมากอย่างรวดเร็ว

• การฟ้องร้องต่อต้านการใช้คำภาษาอังกฤษเดียว (หรือภาษาอื่น ๆ )

สิ่งนี้จะป้องกันการโจมตีของพจนานุกรม

• บังคับรวมของประเภทที่แตกต่างกัน (เช่น. กรณีผสมตัวเลขเครื่องหมายวรรคตอน)

สิ่งนี้จะเพิ่มพื้นที่การโจมตีโดยเฉลี่ย

เหตุผลทั้งหมดเหล่านี้สามารถสืบย้อนหลังเพื่อลดอคติของผู้ใช้ในการเลือกรหัสผ่าน ผู้ใช้ส่วนใหญ่มีอคติต่อการสร้างรหัสผ่านที่สั้นและง่ายต่อการจดจำ น่าเสียดายที่มักจะทำให้รหัสผ่านง่ายต่อการโจมตี สิ่งที่ผู้ใช้ส่วนใหญ่ต้องการคือคำแนะนำในการสร้างรหัสผ่านที่น่าจดจำปลอดภัยหรือวลีรหัสผ่านที่ยาวขึ้น

รหัสผ่านที่จดจำได้อย่างปลอดภัย

เมื่อฉันต้องการสร้างรหัสผ่านที่มีการจำกัดความยาวฉันมักจะเริ่มต้นด้วยวลีเพื่อให้ฉันมีตัวช่วยในการจำ ฉันรับวลีและได้รับตำแหน่งเหมือนกันจากแต่ละคำ ตอนนี้ฉันมีตัวละครที่เรียงตามลำดับ จากนั้นฉันเลือกตัวพิมพ์ใหญ่บางตัวใช้ชื่อที่เหมาะสมในวลีหรือตามรูปแบบ (ตัวอักษรตัวแรกและตัวสุดท้ายตัวอักษรอื่น ๆ ทุกตัว ฯลฯ ) ฉันจะเพิ่มเครื่องหมายวรรคตอนและตัวเลขตามกฎเกณฑ์หรือรูปแบบบางอย่าง (เช่น. ทั้งหมดของ j คือ 7 โดยใช้ '&' โดยที่มี 'และ' ในวลี ฯลฯ )

มาม่าเพิ่งฆ่าผู้ชายคนหนึ่ง วางปืนลงบนหัวของเขา ดึงไกของฉันตอนนี้เขาตายแล้ว

วลีที่จัดทำโดยสมเด็จพระราชินี

1. mjkampagahhpmtnhd - อักษรตัวแรกของทุกคำ
2. MjkamPagahhPmtnhd - ปลอกตรงกับปลอกของวลี
3. Mjk0mP0g0hhPmtnhd - เปลี่ยน 'a' เป็น 0
4. Mjk0mP0g0 () Pmtnhd - เปลี่ยน 'หัวของเขา' เป็น ()

หลังจากฉันพิมพ์มันสองสามครั้งเมื่อคิดวลีฉันจะไม่มีปัญหาในการจดจำ

รหัสผ่านของคุณจะต้องมีความยาวระหว่าง 8 และ 26 อักขระ

รหัสผ่านขั้นต่ำที่มีความยาว 8 ตัวอักษรเป็นมรดกของ Lan Manager Lan Manager แฮรหัสผ่านโดยแบ่งออกเป็นสายอักขระ 2 7 ตัวจากนั้นแฮชรหัสผ่าน โดยกำหนดให้มีอย่างน้อย 8 ตัวอักษรพวกเขารับประกันว่าคำที่สองนั้นไม่เหมือนกับรหัสผ่านเปล่า (ไม่มีเกลือดังนั้นทุก 7 ช่องว่างจะถูกแฮชกับผลลัพธ์เดียวกัน)

ฉันแน่ใจว่าหลังจาก 3 วันฉันจะลืมรหัสผ่านนี้

ฉันเลิกแล้วกฎก็งี่เง่าและไร้สาระที่ฉันเขียนมันลงไปเดี๋ยวนี้ ทั้งหมดยกเว้นเว็บไซต์ที่ฉันใช้สำหรับเว็บไซต์ นายจ้างปัจจุบันของฉันยังติดตามการใช้รหัสผ่าน 24 ที่ผ่านมาเพื่อให้พวกเขาไม่สามารถนำกลับมาใช้ใหม่ได้และรหัสผ่านไม่สามารถมีคำศัพท์ภาษาอังกฤษที่มีความยาว 3+ ตัวอักษร (ไปข้างหน้าหรือข้างหลัง) นอกจากนี้ยังทำให้แน่ใจว่าคุณไม่ได้ใช้คำก่อนหน้าและเพิ่มตัวเลขบางส่วนเป็นส่วนหนึ่งของคำนั้น (ดังนั้นหากP4ssw0rd1ใช้คุณไม่สามารถใช้P4ssw0rd2หรือไม่ได้P4ssw0rd0)

ฉันเรียนรู้บทเรียนที่สำนักงานเมื่อฉันต้องเปลี่ยนรหัสผ่านใช้เวลา 45 นาทีเพื่อให้ระบบรับการเปลี่ยนใหม่จากนั้นลืมสิ่งที่เกิดขึ้นทันทีและต้องรีเซ็ตและเสียเวลาอีก 45 นาที ไม่กี่นาทีที่จะได้สิ่งที่ฉันจำได้ว่าซับซ้อนพอที่จะทำตามข้อกำหนด (ข้อกำหนดบางอย่างระบุไว้ข้างต้นบางอย่างไม่ได้และบางอย่างที่ฉันไม่รู้) ไม่ใช่เรื่องสนุกที่พยายามคิดหาสิ่งที่ตรงกับกฎที่คุณไม่ได้รับอนุญาต อย่างน้อยกับเกมอย่างMastermindคุณจะได้รับเบาะแสว่าคุณอยู่ใกล้แค่ไหน ที่สำนักงานคนบางคนใช้สมาร์ทการ์ดฉันไม่ได้เป็นหนึ่งในนั้น

การใช้ bcryptเมื่อจัดเก็บรหัสผ่านเป็นการเริ่มต้นครั้งแรกที่ดีเพราะจะทำให้การแฮ็คที่โหดร้ายพยายามทำไม่ได้

เหมาะสมและปลอดภัยเป็นเอกสิทธิ์เฉพาะบุคคล ปลายทั้งสองเป็นก้าน การสร้างสมดุลระหว่างกลางจะดีที่สุด เพื่อความปลอดภัยและผู้คนเขียนรหัสผ่านหรือใช้คุณสมบัติปลดล็อครหัสผ่านที่ไม่ปลอดภัยโดยสิ้นเชิง

ตัวอย่างข้างต้นดูเหมือนจะเอนเอียงไปทางที่ปลอดภัยมากกว่าสมเหตุผล ฉันเคยเห็นที่เลวร้ายยิ่ง

ฉันชอบที่จะเอนหลังไปตามเหตุผล กุญแจสำคัญคือการพึ่งพาความปลอดภัยในส่วนหลังของคุณ เก็บเกลือให้น้อยที่สุดเท่าที่จะทำได้ ฯลฯ วิธีการที่แนะนำล่าสุดทั้งหมดสำหรับการเข้ารหัสรหัสผ่านลงในฐานข้อมูลของคุณและการเข้ารหัสด้วยวิธีเดียวเช่นกัน จากนั้นรักษาฐานข้อมูลและรหัสของคุณให้ปลอดภัย ฝึกอบรมทุกคนที่มีสิทธิ์ของผู้ดูแลระบบของคุณว่าพวกเขาจำเป็นต้องใช้รหัสผ่านที่ปลอดภัยไม่ซ้ำใคร มันแสดงให้เห็นเมื่อเร็ว ๆ นี้ว่าการรวมกลุ่มกันของคำในพจนานุกรมหลายคำมีความปลอดภัยมากกว่าการลากในอักขระพิเศษ มันต้องมีการจับคู่พจนานุกรมแบบผสมซึ่งเพิ่มเวลาในการแฮ็กเกอร์อย่างชาญฉลาดอย่างไรก็ตามสิ่งเหล่านี้ยังคงเป็นที่จดจำสำหรับผู้ใช้

ไม่ใช่คำในพจนานุกรมหรือเป็นรูปแบบเล็ก ๆ น้อย ๆ แค่นั้นแหละ. กลุ่มคำศัพท์สองคำนั้นไม่สามารถตรวจสอบได้ ตัวอักษรตัวเดียวสำหรับตัวละครที่ไม่ได้เป็นตัวแทนที่ชัดเจน (0-O, 1-I, 5-S) เช่นกัน

นอกจากนี้หากคุณ จำกัด เวลาในการตอบกลับ - รหัสผ่านที่ยอมรับ / ถูกปฏิเสธหลังจาก 1 วินาทีและไม่อนุญาตให้มีการเข้าสู่ระบบเดียวกันสองครั้ง - หนึ่งต้องเสร็จสิ้น (OK หรือข้อผิดพลาด) ก่อนที่คุณจะลองอีกครั้ง รหัสผ่านพิเศษสำหรับอักขระจะใช้เวลา 9 ปีจึงจะหยุดทำงาน

ความซับซ้อนของข้อกำหนดรหัสผ่านควรมีความสมดุลกับเนื้อหาในเว็บไซต์ของคุณ ธนาคารควรต้องใช้รหัสผ่านที่ซับซ้อนสูง (ตัวพิมพ์ใหญ่ตัวพิมพ์เล็กตัวเลขและอักขระพิเศษ) อย่างไรก็ตามหากเนื้อหานั้นเล็กน้อยเช่นการค้นหาที่บันทึกไว้และหมายเลขติดตามความต้องการรหัสผ่านควรจะผ่อนคลาย ความยาวอย่างน้อย 6 ตัวอักษรควรเพียงพอ มิฉะนั้นจะเป็นการรบกวนผู้ชมของคุณและขัดขวางไม่ให้สร้างการเข้าสู่ระบบ