Новые требования к паролям Стэнфордского университета: баланс между длиной и сложностью
- воскресенье, 27 апреля 2014 г. в 03:10:32
habrahabr
http://habrahabr.ru/post/220949/
Стэнфордский университет недавно обновил требования к паролям для доступа студентов и преподавателей к внутренним ресурсам своей сети. Теперь жёсткие требования использования букв в разных регистрах, цифр и спецсимволов действуют только для коротких паролей, и чем длиннее пароль, тем эти требования мягче. При длине пароля от 8 до 11 символов их использование обязательно, от 12 до 15 — можно обойтись только буквами в разных регистрах и цифрами, от 16 до 19 — можно отказаться от цифр, а для паролей от 20 символов нет вообще никаких ограничений.
После серии громких взломов и утечек баз паролей, прошедшей за последние пару лет, многие заговорили о том, что пароли себя изжили и уже не способны эффективно защитить информацию — любой пароль, который легко запомнить, скорее всего легко и взломать. При ограниченной длине пароля для сохранения стойкости он должен больше походить на криптографический ключ в виде набора случайных символов, чем на секретное слово. И хранить такие ключи удобно в менеджере паролей, а не в собственной памяти.
Если же требуется легкость запоминания — лучше использовать парольные фразы из нескольких слов. Именно к этому и подталкивает пользователей новая политика Стэнфорда, и, пожалуй, многим сайтам стоит взять её в пример. Я до сих пор периодически сталкиваюсь с тем, что длина пароля ограничивается сверху, и использовать длинную фразу в качестве пароля невозможно. Или, независимо от длины пароля сайт упорно требует, чтобы в нём были спецсимволы, цифры и заглавные буквы. Особенно мучительно набирать такие пароли на мобильных устройствах без полноценной клавиатуры.
В принципе, в новых требованиях Стэнфордского университета нет ничего революционного, но это очень хороший пример того, как можно сочетать заботу о безопасности и удобство пользователей, приложив совсем немного усилий. Для наглядности университет опубликовал небольшую инфографику с объяснением новой политики и рекомендациями по использованию паролей:
Стэнфордский университет недавно обновил требования к паролям для доступа студентов и преподавателей к внутренним ресурсам своей сети. Теперь жёсткие требования использования букв в разных регистрах, цифр и спецсимволов действуют только для коротких паролей, и чем длиннее пароль, тем эти требования мягче. При длине пароля от 8 до 11 символов их использование обязательно, от 12 до 15 — можно обойтись только буквами в разных регистрах и цифрами, от 16 до 19 — можно отказаться от цифр, а для паролей от 20 символов нет вообще никаких ограничений.
После серии громких взломов и утечек баз паролей, прошедшей за последние пару лет, многие заговорили о том, что пароли себя изжили и уже не способны эффективно защитить информацию — любой пароль, который легко запомнить, скорее всего легко и взломать. При ограниченной длине пароля для сохранения стойкости он должен больше походить на криптографический ключ в виде набора случайных символов, чем на секретное слово. И хранить такие ключи удобно в менеджере паролей, а не в собственной памяти.
Если же требуется легкость запоминания — лучше использовать парольные фразы из нескольких слов. Именно к этому и подталкивает пользователей новая политика Стэнфорда, и, пожалуй, многим сайтам стоит взять её в пример. Я до сих пор периодически сталкиваюсь с тем, что длина пароля ограничивается сверху, и использовать длинную фразу в качестве пароля невозможно. Или, независимо от длины пароля сайт упорно требует, чтобы в нём были спецсимволы, цифры и заглавные буквы. Особенно мучительно набирать такие пароли на мобильных устройствах без полноценной клавиатуры.
В принципе, в новых требованиях Стэнфордского университета нет ничего революционного, но это очень хороший пример того, как можно сочетать заботу о безопасности и удобство пользователей, приложив совсем немного усилий. Для наглядности университет опубликовал небольшую инфографику с объяснением новой политики и рекомендациями по использованию паролей: