Teks & alat harian · Penjana Kata Laluan
Peraturan kerumitan vs panjang: perkara yang NIST 800-63B tukar tentang kata laluan
· Mengapa ia penting
kata laluan dasar keselamatan
Merumuskan peralihan dalam garis panduan identiti digital NIST — jauh daripada peraturan gubahan dan putaran paksa, ke arah panjang, penyaringan senarai pelanggaran dan kebolehgunaan — dan maksudnya tentang cara anda menjana kata laluan.
Dasar yang menghasilkan Summer2024! — bagaimana peraturan gubahan dan set semula sembilan puluh hari membentuk kata laluan yang boleh diramal
Buku kerja bermula dengan penjelasan sejarah untuk kata laluan bermusim yang boleh diramal, tetapi tiada arkib dasar, tinjauan atau teks standard disertakan dalam sumber repositori untuk tugasan ini. Mengulangi akaun itu dari ingatan akan membuat tuntutan pihak berkuasa tidak bersumber. Pembetulan adalah untuk bermula dengan perkara yang boleh dibuktikan oleh ToolAcre: tetapan yang diterima dan tingkah laku generasi di belakangnya.
Penjana tidak boleh memutuskan dasar kata laluan organisasi. Ia tidak mengetahui nilai akaun, kawalan pemulihan, seni bina pengesahan atau konteks kawal selia. Dasar orang yang menulis mesti menggunakan sumber semasa yang diluluskan. ToolAcre kemudiannya boleh menjana nilai yang sepadan dengan kekangan medan eksplisit, tanpa mewakili kawalan tersebut sebagai amalan terbaik sejagat.
Repositori tidak mendokumenkan sejarah atau kuasa dasar kata laluan luaran
Tiada salinan NIST SP 800-63B dipetik oleh produk kata laluan, jadi artikel ini tidak meringkaskan peruntukan komposisi, putaran atau senarai yang dilanggar. Kawalan tempatan yang disahkan ialah tiga hingga enam belas perkataan frasa laluan, panjang perkataan daripada satu hingga dua puluh, beberapa mod huruf besar dan pemisah, dan panjang kata laluan aksara daripada lapan hingga 128 dengan kelas yang boleh dipilih.
Manifes juga menyatakan perkara yang tidak dilakukan oleh produk: tiada akaun, tiada storan, tiada sejarah, tiada semakan pelanggaran dan tiada ciri pengurus. Sempadan itu penting apabila menterjemah polisi. Keperluan untuk menapis kelayakan sedia ada atau mengawal pemulihan tidak boleh dipenuhi dengan memilih pilihan penjana lain.
Kawalan ToolAcre yang disahkan, bukan parafrasa NIST SP 800-63B
Penjelasan mengapa panduan luar berubah memerlukan dokumen utama dan penyelidikan sokongan. Kedua-duanya tidak dibekalkan di sini, jadi artikel itu meninggalkan sejarah itu daripada mencipta bukti. Tajuk dalam pelan kandungan ialah ringkas, bukan petikan, dan kontrak pengarangan secara eksplisit memerlukan pembetulan apabila garis besar melebihi kebenaran sumber.
Hasil praktikal adalah pembahagian kerja yang lebih bersih. Pemilik polisi memetik dan meluluskan kuasa mereka. ToolAcre mendedahkan kawalan deterministik dan laluan rawak kriptografi. Pembaca boleh mengesahkan sama ada mekanisme output memenuhi peraturan tempatan yang dinyatakan, tetapi tidak seharusnya membuat kesimpulan bahawa peraturan tempatan disahkan oleh penjana.
Mengapa tuntutan sejarah dasar ditinggalkan tanpa sumber piawaian yang disebut
Lebih banyak cabutan bebas mengembangkan ruang pilihan penjana yang diketahui. Untuk frasa laluan, setiap perkataan tambahan menambah log₂ bilangan perkataan sebenar yang layak. Untuk kata laluan aksara, setiap kedudukan tambahan diambil daripada abjad yang dipilih selepas kelas yang diperlukan telah diwakili. Aritmetik itu menerangkan tetapan, bukan hasil minimum universal atau terjamin.
Panjang juga boleh bertembung dengan had destinasi, pengendalian bait atau aksara yang tidak disokong. Polisi harus menyatakan sempadan sistem yang digunakan dan sama ada ukuran itu adalah aksara atau sesuatu yang lain. ToolAcre tidak menguji medan perkhidmatan lain, jadi generasi tempatan yang berjaya bukanlah bukti bahawa destinasi akan menerima atau mengekalkan keseluruhan nilai.
Perkara yang dijana panjang dibeli dalam proses pilihan yang diketahui
Dasar organisasi yang boleh digunakan hendaklah ditulis daripada sumber keselamatan dan pematuhan yang diluluskan, namakan kelas akaun dan menerangkan pengecualian melalui tadbir urus organisasi itu sendiri. Penjana sepatutnya muncul sahaja sebagai cara yang diluluskan untuk menghasilkan calon baharu yang sepadan dengan keperluan tersebut. Ia tidak boleh disebut sebagai sebab keperluan wujud.
ToolAcre juga tidak boleh digabungkan dengan pengurus kata laluan. Ia mencipta satu nilai semasa dan melupakannya apabila diganti atau halaman ditinggalkan. Storan, pengedaran, akses kecemasan, acara putaran dan pemulihan akaun memerlukan proses terurus yang berasingan. Jangan hantar atau gunakan semula bukti kelayakan yang dijana sahaja kerana tetapannya sepadan dengan perenggan dasar.
Tulis dasar tempatan daripada sumber yang diluluskan; gunakan alat ini sahaja untuk generasi
Katakan peraturan medan tempatan yang diluluskan memerlukan huruf kecil, huruf besar, digit dan simbol dan menerima dua puluh aksara. Dayakan empat kelas aksara dan simpan panjang dua puluh. Enjin mula-mula menarik satu aksara daripada setiap kelas, mengisi baki kedudukan daripada kesatuan mereka dan mengocok hasilnya dengan selamat, jadi keperluan gubahan dipenuhi tanpa awalan kelas yang boleh diramal.
Jika peraturan tempatan sebaliknya menerima bukti kelayakan berbilang perkataan, pilih pembatas yang dibenarkan dan kiraan perkataan dalam sempadan antara muka. Catatkan tetapan, bukan nilai yang dijana, dalam dokumentasi dasar atau tangkapan skrin. Bukti kelayakan yang diletakkan dalam contoh menjadi umum dan tidak boleh digunakan untuk akaun.
Contoh yang berfungsi: menterjemah peraturan aksara tempatan ke dalam tetapan penjana yang disokong
Keperluan pelbagai faktor, persekutuan, kalis identiti dan pematuhan piawai adalah di luar sumber penjana. Begitu juga tafsiran undang-undang dan mandat khusus sektor. Artikel ini sengaja meninggalkannya kerana tiada pihak berkuasa utama telah disahkan di sini, bukan kerana ia tidak penting.
Sempadan yang sama digunakan untuk semakan kata laluan yang dilanggar. ToolAcre tidak menerima kata laluan sedia ada atau menghantarnya ke perkhidmatan semakan. Jika dasar yang diluluskan memerlukan tapisan, gunakan sistem yang diluluskan yang direka bentuk untuk fungsi tersebut dan semak model privasinya secara berasingan.
Keperluan standard, persekutuan dan pengesahan kekal di luar bukti repositori
Anggap Penjana Kata Laluan sebagai komponen pelaksanaan di bawah dasar, bukan pengarang dasar. Kawalan dan laluan kegagalannya boleh diperiksa: sempadan yang disokong, kelas eksplisit, EFF aset perkataan, Kripto Web, pensampelan penolakan, tiada sandaran yang lemah dan tiada ketekunan. Itu adalah fakta produk.
Dapatkan keperluan normatif daripada sumber utama semasa yang diterima oleh organisasi anda, kemudian petakannya kepada fakta produk ini. Pendekatan itu mengelak daripada memetik piawaian dari ingatan dan menghalang alat pelayar yang mudah daripada disalah anggap sebagai undang-undang dasar kata laluan universal.