ฉันเจอไซต์จำนวนไม่มากที่จำกัดความยาวที่อนุญาตให้ใช้รหัสผ่านและ / หรือไม่อนุญาตให้ใช้อักขระบางตัว นั่นเป็นข้อ จำกัด สำหรับฉันเนื่องจากฉันต้องการขยายและค้นหาพื้นที่ในรหัสผ่านของฉันให้ยาวขึ้น มันทำให้ฉันรู้สึกไม่สบายใจที่พวกเขาอาจไม่ได้คร่ำครวญ

มีเหตุผลที่ดีสำหรับการตั้งค่าความยาวส่วนบนหรือไม่รวมอักขระในรหัสผ่านหรือไม่?

ไม่

ไม่มีเหตุผลที่ดี

แก้ไข: ฉันไม่สามารถพิสูจน์ได้ว่าไม่มีเหตุผลที่ดีเพราะไม่มีใครพิสูจน์ได้ว่าเป็นลบ ฉันสามารถคิดว่าไม่มีเหตุผลที่ดีสำหรับเรื่องนี้ - ตามที่คนอื่นชี้ว่าแฮชจะมีขนาดเดียวกันโดยไม่คำนึงถึงขนาดของอินพุตและการกำจัดอักขระที่ถูกต้อง (จากบริบทของคำถาม) เพียงแค่ลดพื้นที่ว่างของรัฐ คำตอบดูเหมือนชัดเจนบนใบหน้า: ไม่มีเหตุผลที่ดี อาจมีหลายเหตุผลที่ฟังดูดีหรือดูดี แต่ก็ไม่ใช่ หากพวกเขาเป็นใครบางคนจะโพสต์ไว้ที่นี่แล้วหรือไม่หากไม่ได้อยู่ที่นี่อย่างแน่นอนใน security.stackexchange.com

การ จำกัด ระยะเวลาที่สามารถวัดการ จำกัด เวลาการดำเนินการของคร่ำเครียดเช่นเดียวกับการ จำกัด แบนด์วิดธ์ (และทั้งสองของผู้ที่มีจริงๆล่ะค่ะร่อแร่) นอกเหนือจากนั้นไม่มีเหตุผลที่ดีโดยเฉพาะอย่างยิ่งจากมุมมองความปลอดภัย

หนึ่งสามารถพูดได้:“ ผู้คนจะลืมรหัสผ่านอีกต่อไปได้ง่ายขึ้น” - แต่นั่นเป็นคำสั่งที่โง่มากและไม่ไปถึงจุดนั้นเลย

สำหรับตัวละครตราบใดที่คุณตระหนักถึงปัญหาการเข้ารหัสที่อาจเกิดขึ้นกับการถ่ายโอนข้อมูลและ / หรือการย้ายข้อมูลในอนาคต (เช่นคุณจะเปลี่ยนจาก ASCII เป็น UTF-8 ใน 2 ปี) การอนุญาตให้ใช้อักขระได้มากขึ้นเท่านั้น

ใช่มีเหตุผลสำหรับตัวละครพิเศษ

การไม่อนุญาตให้ใช้อักขระพิเศษเป็นสิ่งที่มีประโยชน์มากกว่าความปลอดภัยที่เกี่ยวข้อง ก่อนอื่นพวกเขาอาจยุ่งเหยิงด้วยการเข้ารหัสปัญหา ประการที่สองแม้ว่าคุณจะรับประกันว่าจะใช้การเข้ารหัสแบบเดียวกันเสมอ แต่ก็ยังคงมีปัญหาของอุปกรณ์อินพุต คุณจะขึ้นอยู่กับการมีแป้นพิมพ์เต็มรูปแบบ (ซึ่งกำจัดอุปกรณ์พกพาส่วนใหญ่) ด้วยรูปแบบแป้นพิมพ์เดียวกัน ต่อมาแตกต่างกันไม่เพียง แต่ระหว่างภาษา แต่ระหว่าง OS, เลย์เอาต์สำหรับ Windows, Linux และ OSX อาจแตกต่างกันเล็กน้อย √Ω≈ç∫∞§…¬å∑±ดังนั้นผมจึงไม่เห็นเหตุผลที่ดีที่จะไม่อนุญาตให้มีการใช้รหัสผ่านที่ชอบ:

มีการโต้เถียงกันเล็กน้อยในโลกความปลอดภัยเมื่อไม่กี่ปีที่ผ่านมาเมื่อลูกค้าของ Chase พบว่ารหัสผ่านของพวกเขานั้นไม่ตรงตามตัวพิมพ์เล็กและใหญ่ มันเปิดออกหน้าเว็บของพวกเขาเป็นเพียงส่วนหน้าของระบบแบ็กเอนด์ OS / 400 อายุ 30 ปีซึ่งมีข้อ จำกัด ทางเทคนิคที่ไม่สนใจกรณี การแก้ไขสิ่งนี้จะมีค่าใช้จ่ายหลายล้านดอลลาร์

ประเด็นคืออาจมีเหตุผลดั้งเดิมที่มีราคาแพงที่ไม่อนุญาตให้ใช้รหัสผ่านในระยะเวลาหนึ่ง
(โปรดทราบว่าฉันไม่ได้ยกโทษข้ออ้างนี้ ... )

ธนาคารส่วนใหญ่แผนกไอที ฯลฯ ที่บังคับใช้ข้อ จำกัด รหัสผ่านสูงสุดไม่ได้ทำด้วยเหตุผลทางเทคนิค พวกเขาตระหนักดีว่าการแฮ็กรหัสผ่านทำงานอย่างไรและวิธีการจัดเก็บรหัสผ่านที่ซับซ้อน พวกเขากำหนดข้อ จำกัด เหล่านี้เพราะจะลดจำนวนการโทรเพื่อสนับสนุนสำหรับผู้ที่ลืมรหัสผ่าน นี่เป็นเหตุผลที่ดีที่จะใช้ข้อ จำกัด แบบนั้นหรือไม่? ไม่ได้หมายความว่า แต่อย่างไรก็ตามมันเป็นเหตุผลหลัก

ไม่ใช่อุปกรณ์อินพุตทั้งหมด (ฮาร์ดแวร์ที่ชาญฉลาด) มักจะมีอักขระทั้งหมดที่แป้นพิมพ์แบบเต็มมีหรือเช่นเดียวกัน หากไม่มีใครใช้ผู้จัดการรหัสผ่านก็พบว่าตัวเองมีปัญหาในการป้อนรหัสผ่านดังกล่าวไม่ใช่หรือ? และ Unicode ยังคงเป็นทางไกล (ไกล) จากการเป็นมาตรฐาน

มีเหตุผลที่ดีสำหรับการตั้งค่าความยาวส่วนบนหรือยกเว้นอักขระในรหัสผ่านหรือไม่

ฉันจะคาดเดาและบอกว่าข้อ จำกัด เหล่านี้มีสาเหตุมาจากการกรองอักขระบนเว็บไซต์ ( & < > #) เพื่อป้องกันแฮกเกอร์ ในขณะที่คนอื่น ๆ เป็นความคิดที่นำไปสู่กระดูกที่ออกมาจากคณะกรรมการของเจ้านายที่มีผมแหลม

ฉันเจอการตัดสินใจ "ความปลอดภัย" โง่ ๆ (ในความคิดของฉัน) จริงๆ ตัวอย่างเช่น บริษัท การลงทุนขนาดใหญ่แห่งหนึ่งจัดการบัญชี IRA ของฉันเช่นเดียวกับเงินบำนาญของฉัน เพื่อที่จะทำใด ๆติดต่อกับเงินบำนาญของฉันต้องพิมพ์รหัสผ่านของฉันเกี่ยวกับโทรศัพท์ (คุณไม่สามารถเข้าถึงพวกเขาเป็นอย่างอื่น) บัญชีนายหน้าของฉัน / IRA ใช้ตัวอักษร (ตัวพิมพ์ใหญ่และตัวพิมพ์เล็ก) รวมถึงเครื่องหมายวรรคตอน - ไม่มีอักขระเหล่านี้ปรากฏบนแผ่นหมายเลขโทรศัพท์ หากคุณไม่สามารถเข้าสู่ระบบด้วยรหัสผ่านทางโทรศัพท์มันจะช่วยให้คุณรีเซ็ตรหัสผ่านบัญชีนายหน้าของคุณเป็นสิ่งที่คุณสามารถพิมพ์ผ่านทางโทรศัพท์

ระบบบัญชีเงินเดือนของฉัน (สำหรับ บริษัท ที่ปรึกษาที่ฉันทำงานด้วย) ต้องใช้ตัวเลขและตัวเลขเท่านั้น - ซึ่งช่วยให้พวกเขาใช้ฐานข้อมูลเดียวกันไม่ว่าผู้ใช้จะโทรเข้า (ฉันไม่เคยทำสิ่งนี้) หรือใช้เว็บอินเตอร์เฟส (ฉันใช้สิ่งนี้เท่านั้น) .

ที่ถูกกล่าวว่ามันเป็นเวลาที่จะเปลี่ยนรหัสผ่านของฉันที่สำนักงาน พวกเขามีข้อ จำกัด ที่บ้าคลั่งซึ่งฉันคาดว่าจะใช้เวลาประมาณครึ่งวันในการค้นหารหัสผ่านที่ระบบยอมรับ: ตัวอักษรตัวพิมพ์ใหญ่อย่างน้อย 2 ตัวอักษรตัวพิมพ์เล็กอย่างน้อย 2 ตัวอักษรอย่างน้อย 2 ตัว (อย่างน้อย +/- 1 จากรหัสผ่านก่อนหน้านี้อย่างน้อย 2 ตัวอักษรที่ไม่ใช่ตัวอักษร / ตัวเลขไม่สามารถจับคู่ใด ๆ ของรหัสผ่าน 24 ที่ผ่านมาไม่สามารถมีสตริงใด ๆ (ไปข้างหน้าหรือข้างหลัง) ที่เป็นคำ (3 หรือมากกว่าตัวอักษรยาว) ในภาษาอังกฤษ อีกสองภาษาที่ฉันไม่ทราบเลย) ฉันคิดว่าความยาวต่ำสุดนั้นมีความยาวตั้งแต่ 10-11 ตัวอักษร

เหตุผลหนึ่งในการ จำกัด อักขระที่จะเกิดจากวิธีป้อนรหัสผ่าน

ตัวอย่างเช่นธนาคารหลายแห่งที่มีเว็บไซต์ธนาคารทางอินเทอร์เน็ตของพวกเขาขอตัวอักษรเฉพาะจากรหัสผ่านและคุณเลือกตัวละครที่เหมาะสมผ่านทางกล่องแบบหล่นลง

พวกเขาทำสิ่งนี้น่าจะเป็นเช่นนั้นเพื่อให้ผู้ล็อกคีย์ไม่สามารถตรวจพบการกดคีย์และทำให้รู้ว่า [อักขระจาก] รหัสผ่านของคุณ ในขณะที่ฉันรู้ว่ามีวิธีการอื่น ๆ อีกมากมายเช่นมาตรการสามารถหลีกเลี่ยงเช่น screencapture; มันยังคงมีผลกับ keyloggers

หากพวกเขาต้องอนุญาตให้ตัวละครทุกตัวความยาวของกล่องแบบเลื่อนลงจะกลายเป็นเรื่องยุ่งยากและยังทำให้เกิดความสับสนระหว่างตัวละครที่ดูคล้ายกัน

การไม่อนุญาตให้ใช้ตัวอักษรพิเศษเช่นแท็บจะถูกต้อง คุณสามารถเข้าสู่ระบบหรือเปลี่ยนรหัสผ่านของคุณด้วยแท็บถ่านในโหมดข้อความ แต่คุณไม่สามารถใช้รหัสผ่านใน GUI หรือสภาพแวดล้อมเว็บ แบ็กสแลชชอร์จะแสดงปัญหาข้ามแพลตฟอร์ม

รหัสผ่านที่ยาว btw ไม่ใช่รหัสผ่าน - เป็นรหัสผ่าน ผู้ใช้งานเฉลี่ยของคุณจำไม่ได้ว่า 2Z8d!% g # x แต่พวกเขาจำได้ว่า 'ชื่อสัตว์เลี้ยงของฉันคือ fido the dog' ข้อความที่ยาวกว่านั้นยากต่อการถอดรหัสโดยใช้กำลังดุร้ายและมีโอกาสน้อยที่จะเขียนบนโน้ตที่แนบมากับหน้าจอ

เมื่อคนพิมพ์พวกเขาทำผิดพลาดเรียกว่า "พิมพ์ผิด" โดยปกติผู้คนจะเห็นความผิดพลาดและแก้ไขให้ถูกต้อง สำหรับการป้อนรหัสผ่านโดยปกติคุณจะไม่เห็นสิ่งที่คุณพิมพ์ดังนั้นคุณจึงไม่สามารถแก้ไขความผิดพลาดได้ คุณทำผิดพลาดโดยไม่ทราบว่าส่งรหัสผ่านของคุณและมันกลับมาเป็น "รหัสผ่านไม่ถูกต้อง" จากนั้นคุณลองอีกครั้ง จากนั้นคุณลองอีกครั้ง

คุณสามารถคิดว่ามันเป็น "ความผิดพลาดเล็ก ๆ น้อย ๆ 3 อย่างแล้วคุณก็แยกไม่ออกจากการโจมตีด้วยกำลังดุร้าย" ระบบป้องกันการโจมตีด้วยกำลังดุร้ายได้อย่างไร ชัดเจน " พยายามมากเกินไปหายไปคุณจะไม่สามารถเข้าสู่ระบบแม้ว่าคุณจะตอบถูก " การเพิ่มความล่าช้าเป็นครั้งคราวในการป้อนรหัสผ่านที่นำไปสู่การใช้เวลาเบราว์เซอร์เมื่อการหน่วงเวลายาวเกินไปทำให้เป็นไปไม่ได้ที่จะลองลงชื่อเข้าใช้อีกครั้ง? วิธีการที่แตกต่างกันไป แต่มีผลในระบบที่ออกแบบมาอย่างดีเสมอ

คุณสามารถคิดว่ามันเป็น "ความผิดพลาดเล็ก ๆ น้อย ๆ 3 อย่างแล้วคุณจะได้รับการปฏิเสธบริการ"

เมื่อความยาวรหัสผ่านเพิ่มความเสี่ยงของการพิมพ์ผิด (และความเสี่ยงของการปฏิเสธการเข้าถึงของผู้มีอำนาจ) จะเพิ่มขึ้น สิ่งใดนานกว่าประมาณ 20 ตัวอักษรที่เป็นไปได้พิมพ์ผิดบ่อย (ยกเว้นกรณีที่ผู้ใช้สมาร์ท / ขี้เกียจและร้านค้าบางแห่งรหัสผ่านของพวกเขาเพื่อให้พวกเขาสามารถ "คัดลอกและวาง" โดยไม่ต้องกังวลเกี่ยวกับความผิดพลาดเช่นไฟล์ข้อความดีธรรมดาบนเดสก์ทอปของพวกเขาเรียกว่า " รหัสผ่าน .txt ")