Teie paroolipoliitika võib endiselt nõuda suurtähte, erimärki ja vahetamist iga 90 päeva järel. USA riiklik standardi- ja tehnoloogiainstituut (NIST) on kõigist kolmest loobunud. Selle kehtiv juhend SP 800-63B-4 kinnitati 2025. aastal ja see asendab SP 800-63B 2020. aasta väljaande.
NIST kirjutab need juhised USA föderaalsüsteemidele, kuid need on kasulik võrdlusalus igale organisatsioonile. Siin on kirjas, mida need ütlevad ja kuidas neid rakendada.
SP 800-63B-4 paroolireeglid
Jaotis 3.1.1.2 sätestab nõuded süsteemidele, mis paroole kontrollivad. NIST kasutab nõuete jaoks sõna SHALL (peab) ja soovituste jaoks SHOULD (peaks).
| Teema | Mida NIST ütleb |
|---|---|
| Minimaalne pikkus, kui parool on ainus tegur | PEAB olema vähemalt 15 märki |
| Minimaalne pikkus, kui parool on osa mitmikautentimisest | PEAB olema vähemalt 8 märki |
| Maksimaalne pikkus | PEAKS lubama vähemalt 64 märki |
| Märgid | PEAKS aktsepteerima kõiki prinditavaid ASCII-märke, tühikuid ja Unicode’i märke |
| Koostisreeglid | EI TOHI neid kehtestada, näiteks „üks suurtäht, üks number, üks erimärk“ |
| Perioodiline vahetamine | EI TOHI seda nõuda |
| Teadaolev kompromiteerimine | PEAB sundima vahetama, kui on tõendeid, et parool on kompromiteeritud |
| Keelunimekiri | PEAB kontrollima uusi paroole teadaolevalt levinud, oodatavate või kompromiteeritud väärtuste vastu |
| Vihjed ja turvaküsimused | EI TOHI salvestada vihjeid ega küsida teadmistel põhinevaid küsimusi |
| Paroolihaldurid | PEAB neid ja automaatset täitmist lubama; PEAKS lubama kleepimist |
| Nurjunud katsed | PEAB nende arvu piirama |
| Kärpimine | PEAB kontrollima kogu sisestatud parooli |
Miks vanad reeglid kadusid
Koostisreeglid ja sunnitud vahetamine tunduvad ranged, kuid suunavad inimesi ennustatavate mustrite poole. Kasutaja, kes on sunnitud vahetama parooli Autumn2026!, valib üsna tõenäoliselt Winter2026!, ja ründaja, kellel on vana parool, suudab uue ära arvata.
NIST tugineb selle asemel pikkusele ja keelunimekirjale. Pikka paroolifraasi on lihtsam meeles pidada kui lühikest juhuslikku märgijada. Vahetamine aitab ainult siis, kui parool on lekkinud, seega seob NIST vahetamise kompromiteerimise tõenditega, mitte kalendriga.
Tegelikuks filtriks saab koostisreeglite asemel keelunimekiri. See lükkab tagasi paroolid, mida ründajad proovivad esimesena: levinud valikud, teie organisatsiooniga seotud sõnad ja juba lekkeandmetes nähtud paroolid.
Kontroll lekkinud paroolide vastu
Have I Been Pwned teenus Pwned Passwords võimaldab kontrollida parooli lekkeandmete vastu ilma parooli saatmata. Teie süsteem arvutab paroolist SHA-1 räsi ja saadab ainult räsi esimesed viis märki. Teenus tagastab koos esinemiskordadega kõik räsilõpud, mis algavad nende viie märgiga, ja teie võrdlete neid kohapeal.
# SHA-1 of "password" is 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
curl -s -H "Add-Padding: true" https://api.pwnedpasswords.com/range/5BAA6Selle lähenemise, mida nimetatakse k-anonüümsuseks, puhul ei saa teenus kunagi teada, millist parooli te kontrollisite. Tüüpiline vastus sisaldab mitusada räsilõppu ja päis Add-Padding peidab tegeliku vastuse suuruse kõigi eest, kes liiklust jälgivad. Paroolivahemiku otsinguks pole API-võtit vaja.
Lisage see kontroll parooli määramise ja muutmise vaadetesse. Active Directory keskkondades uurige tööriistu, mis rakendavad domeeniparoolide muutmisel lekkinud paroolide loendit.
Laske inimestel paroolihaldureid kasutada
NIST nõuab, et kontrollijad lubaksid paroolihaldureid ja automaatset täitmist. See on mõistlik: haldur muudab pikad unikaalsed paroolid praktiliseks ja täidab parooli ainult domeenil, kuhu see salvestati. Kleepimise blokeerimine sisselogimisvormidel töötab sellele vastu.
Andke töötajatele ettevõtte paroolihaldur, selle asemel et jätta igaüks ise valima. Kaitske haldurit ennast tugeva pea-paroolifraasi ja õngitsuskindla mitmikautentimisega.
Kõik MFA-meetodid ei ole võrdsed
Teise teguriga ei piisa enam ainult varastatud paroolist, kuid mõnda meetodit saab siiski õngitseda. Ründaja võltsitud sisselogimisleht võib küsida koodi ja edastada selle reaalajas edasi. NIST määratleb õngitsuskindluse kui protokolli võime takistada saladuste avalikustamist, sõltumata kasutaja valvsusest.
| Meetod | Õngitsuskindel? | NIST-i märkused |
|---|---|---|
| SMS- või kõnekood | Ei | „Piiratud“ autentimisvahend; kontrollijad peavad pakkuma alternatiive ja peaksid jälgima SIM-kaardi vahetusi ja numbri teisaldamist |
| Autentimisrakenduse kood (TOTP) | Ei | Koodid sisestatakse käsitsi, seega saab neid edasi anda |
| Tõukemärguandega kinnitus või kanaliväline rakendus | Ei | Kanalivälised meetodid ei ole õngitsuskindlad |
| E-posti kood või link | Kanaliväliseks autentimiseks ei ole lubatud | E-posti EI TOHI kasutada kanaliväliseks autentimiseks |
| FIDO2 / WebAuthn turvavõti või pääsuvõti | Jah | Vastus on seotud kontrollitud saidi nimega |
NIST-i keskmisel tagatistasemel AAL2 PEAVAD kontrollijad pakkuma vähemalt ühte õngitsuskindlat võimalust. Kõrgeimal tasemel AAL3 peab autentimisvahend olema õngitsuskindel ja kasutama privaatvõtit, mida ei saa eksportida.
Pääsuvõtmed
Pääsuvõti (passkey) on WebAuthnil põhinev FIDO tunnus. Teie seade loob iga saidi jaoks võtmepaari. Sait salvestab ainult avaliku võtme ja privaatvõti jääb teile. Avate selle samal viisil nagu oma seadme, näiteks sõrmejälje, näotuvastuse või PIN-koodiga. FIDO Alliance märgib, et biomeetrilised andmed jäävad seadmesse ja neid ei saadeta kunagi saidile.
Kuna iga pääsuvõti on seotud ühe saidiga, ei tööta see lihtsalt sarnasel õngitsusdomeenil. Samuti pole serveris varastamiseks jagatud saladust.
Pääsuvõtmeid on kahte liiki:
- Sünkroonitavad pääsuvõtmed kopeeritakse teie seadmete vahel teenusepakkuja sünkroonimisteenuse kaudu. NIST nimetab neid sünkroonitavateks autentimisvahenditeks ja lubab neid tasemel AAL2. Kuna võtit saab eksportida, EI TOHI neid kasutada tasemel AAL3.
- Seadmega seotud pääsuvõtmed jäävad ühte seadmesse, näiteks riistvaralisse turvavõtmesse. Need sobivad administraatoritele ja muudele kõrge riskiga kontodele.
Mõelge ka konto taastamisele. Kui pääsuvõtmega konto saab lähtestada e-posti lingi või kasutajatoe kõnega, võivad ründajad lihtsalt selle tee sihikule võtta. Muutke taastamine vähemalt sama tugevaks kui sisselogimine, mida see asendab.
Poliitika, mille saate üle võtta
- Vähemalt 15 märki, kui parool on ainus tegur, ja lubage vähemalt 64 märki.
- Koostisreegleid ega plaanilist aegumist ei ole.
- Kontrollige iga uut parooli lekkinud ja levinud paroolide loendi vastu.
- Sundige parooli vahetama ainult kompromiteerimise tõendite korral.
- Andke kasutada paroolihaldur ning lubage kleepimine ja automaatne täitmine.
- Nõudke mitmikautentimist kõikjal, kus see on saadaval, ning õngitsuskindlat mitmikautentimist administraatoritele, e-postile ja kaugjuurdepääsule.
- Võtke pääsuvõtmed kasutusele seal, kus teie süsteemid neid toetavad, alustades kõrge riskiga kontodest.
- Piirake nurjunud sisselogimiste arvu ja muutke konto taastamine sama tugevaks kui sisselogimine.
Kust alustada
Kontrollige meie paroolilekke kontrolliga, kas parool esineb juba lekkeandmetes, ja testige meie paroolitugevuse tööriistaga, kui pikk peab paroolifraas olema.
Kui vaatate üle oma identiteedipoliitikat või kavandate pääsuvõtmete kasutuselevõttu, aitab meie nõustamismeeskond seda planeerida.
