أدوات النص واليومية · مولد كلمة المرور
قواعد التعقيد مقابل الطول: ما الذي تغير NIST 800-63B بشأن كلمات المرور
· لماذا يهم
كلمات المرور سياسة حماية
يلخص التحول في إرشادات الهوية الرقمية لـ NIST - بعيدًا عن قواعد التكوين والتدوير القسري، نحو الطول وفحص قائمة الاختراق وسهولة الاستخدام - وما يعنيه ذلك بالنسبة لكيفية إنشاء كلمات المرور.
السياسة التي أنتجت صيف 2024! - كيف شكلت قواعد التركيب وعمليات إعادة التعيين لمدة تسعين يومًا كلمات مرور يمكن التنبؤ بها
يبدأ المصنف بشرح تاريخي لكلمات المرور الموسمية التي يمكن التنبؤ بها، ولكن لا يتم تضمين أرشيف السياسة أو الاستبيان أو نص المعايير بين مصادر المستودع لهذه المهمة. سيؤدي تكرار هذا الحساب من الذاكرة إلى إنشاء مطالبة سلطة غير مصدر. يجب أن يبدأ التصحيح بما يمكن أن يثبته ToolAcre: الإعدادات التي يقبلها وسلوك الإنشاء الذي يقف وراءها.
لا يمكن للمولد أن يقرر سياسة كلمة المرور الخاصة بالمؤسسة. فهو لا يعرف قيمة الحساب أو ضوابط الاسترداد أو بنية المصادقة أو السياق التنظيمي. يجب أن تستخدم سياسة كتابة الشخص المصادر المعتمدة الحالية. يمكن لـ ToolAcre بعد ذلك إنشاء قيمة تتطابق مع قيود الحقل الصريحة، دون تمثيل عناصر التحكم هذه كأفضل ممارسة عالمية.
لا يقوم المستودع بتوثيق تاريخ أو سلطة سياسات كلمة المرور الخارجية
لم يتم الاستشهاد بأي نسخة من NIST SP 800-63B بواسطة منتج كلمة المرور، لذلك لا تلخص هذه المقالة تكوينها أو تدويرها أو أحكام القائمة المخترقة. تتكون عناصر التحكم المحلية التي تم التحقق منها من ثلاث إلى ستة عشر كلمة عبارة مرور، وأطوال الكلمات من واحدة إلى عشرين، والعديد من أوضاع الحالة والمحددات، وأطوال كلمة مرور الأحرف من ثمانية إلى 128 مع فئات قابلة للتحديد.
يوضح البيان أيضًا ما لا يفعله المنتج: لا يوجد حساب، ولا تخزين، ولا سجل، ولا فحص الاختراق، ولا توجد ميزات إدارية. هذه الحدود مهمة عند ترجمة السياسة. لا يمكن تلبية متطلبات فحص بيانات الاعتماد الحالية أو التحكم في الاسترداد عن طريق تحديد خيار مولد آخر.
عناصر التحكم التي تم التحقق منها في ToolAcre، وليست إعادة صياغة لـ NIST SP 800-63B
تتطلب تفسيرات سبب تغيير التوجيه الخارجي وثائق أولية وأبحاثًا داعمة. لم يتم توفير أي منهما هنا، لذا فإن المقالة تتجاهل هذا التاريخ بدلاً من اختراع الأدلة. العنوان في خطة المحتوى هو ملخص، وليس اقتباس، ويتطلب عقد التأليف صراحةً التصحيح عندما يتجاوز المخطط التفصيلي حقيقة المصدر.
والنتيجة العملية هي تقسيم أنظف للعمل. يستشهد أصحاب السياسة بسلطتهم ويوافقون عليها. ToolAcre يكشف عن عناصر التحكم الحتمية ومسار عشوائي للتشفير. يمكن للقراء التحقق مما إذا كانت آلية الإخراج تلبي القاعدة المحلية المذكورة، ولكن لا ينبغي أن يستنتجوا أن القاعدة المحلية معتمدة من قبل المولد.
لماذا يتم حذف مطالبات تاريخ السياسة بدون مصدر معايير مستشهد به
تعمل المزيد من السحوبات المستقلة على توسيع مساحة اختيار المولد المعروفة. بالنسبة إلى عبارة المرور، تضيف كل كلمة إضافية سجلًا لعدد الكلمات المؤهل الفعلي. بالنسبة لكلمة مرور الأحرف، يتم سحب كل موضع إضافي من الأبجدية المحددة بعد تمثيل الفئات المطلوبة. يصف هذا الحساب الإعدادات، وليس الحد الأدنى العالمي أو النتيجة المضمونة.
يمكن أن يتعارض الطول أيضًا مع حدود الوجهة أو معالجة البايت أو الأحرف غير المدعومة. يجب أن تحدد السياسة حدود النظام المطبقة وما إذا كان المقياس عبارة عن أحرف أو أي شيء آخر. ToolAcre لا يختبر حقل خدمة أخرى، وبالتالي فإن الإنشاء المحلي الناجح لا يعد دليلاً على أن الوجهة ستقبل القيمة بأكملها أو تحافظ عليها.
ما تم إنشاؤه يتم شراؤه داخل عملية اختيار معروفة
يجب كتابة سياسة تنظيمية قابلة للاستخدام من مصادر الأمان والامتثال المعتمدة، وتسمية فئات الحسابات وشرح الاستثناءات من خلال حوكمة المنظمة. يجب أن يظهر المولد فقط كوسيلة معتمدة لإنتاج مرشحين جدد يتوافقون مع تلك المتطلبات. ولا ينبغي ذكره كسبب لوجود المتطلبات.
ToolAcre يجب أيضًا عدم دمجه مع مدير كلمات المرور. يقوم بإنشاء قيمة حالية واحدة ويتم نسيانها عند استبدالها أو ترك الصفحة. يتطلب التخزين والتوزيع والوصول في حالات الطوارئ وأحداث التناوب واسترداد الحساب عمليات مُدارة منفصلة. لا تقم بإرسال أو إعادة استخدام بيانات الاعتماد التي تم إنشاؤها لمجرد أن إعداداتها تطابق فقرة سياسة.
كتابة السياسة المحلية من المصادر المعتمدة؛ استخدم هذه الأداة فقط للجيل
لنفترض أن قاعدة الحقل المحلي المعتمدة تتطلب أحرفًا صغيرة وكبيرة وأرقامًا ورموزًا وتقبل عشرين حرفًا. تمكين فئات الأحرف الأربعة والحفاظ على الطول عشرين. يسحب المحرك أولاً حرفًا واحدًا من كل فئة، ويملأ المواضع المتبقية من اتحادها ويخلط النتيجة بشكل آمن، بحيث يتم استيفاء متطلبات التكوين دون بادئة فئة يمكن التنبؤ بها.
إذا كانت القاعدة المحلية تقبل بدلاً من ذلك بيانات اعتماد متعددة الكلمات، فحدد محددًا مسموحًا به وعدد الكلمات ضمن حدود الواجهة. قم بتسجيل الإعدادات، وليس القيمة التي تم إنشاؤها، في وثائق السياسة أو لقطات الشاشة. تصبح بيانات الاعتماد الموضوعة في أحد الأمثلة عامة ولا يجوز استخدامها مطلقًا لحساب.
مثال عملي: ترجمة قاعدة الأحرف المحلية إلى إعدادات المولد المدعومة
متطلبات العوامل المتعددة والاتحاد وإثبات الهوية والتوافق مع المعايير تقع خارج مصدر المولد. وكذلك هي التفسيرات القانونية والولايات الخاصة بقطاعات محددة. تحذف هذه المقالة هذه العناصر عمدًا لأنه لم يتم التحقق من أي سلطة أولية هنا، وليس لأنها غير مهمة.
تنطبق نفس الحدود على عمليات التحقق من كلمة المرور المخترقة. ToolAcre لا يقبل كلمة المرور الحالية أو يرسلها إلى خدمة التحقق. إذا كانت السياسة المعتمدة تتطلب الفحص، فاستخدم نظامًا معتمدًا مصممًا لهذه الوظيفة وقم بمراجعة نموذج الخصوصية الخاص به بشكل منفصل.
تظل المعايير ومتطلبات الاتحاد والمصادقة خارج دليل المستودع
تعامل مع "مولد كلمة المرور" باعتباره أحد مكونات التنفيذ ضمن السياسة، وليس مؤلف السياسة. يمكن فحص عناصر التحكم ومسارات الفشل الخاصة به: الحدود المدعومة، والفئات الصريحة، وأصول الكلمات EFF، وتشفير الويب، وأخذ عينات الرفض، وعدم وجود تراجع ضعيف وعدم استمرار. هذه هي حقائق المنتج.
احصل على المتطلبات المعيارية من المصدر الأساسي الحالي الذي تقبله مؤسستك، ثم قم بتعيينها إلى حقائق المنتج هذه. يتجنب هذا الأسلوب الاستشهاد بمعايير من الذاكرة ويمنع الخلط بين أداة المتصفح الملائمة وقانون سياسة كلمة المرور العالمية.