Новые требования к паролям Стэнфордского университета: баланс между длиной и сложностью

сегодня в 15:06

Стэнфордский университет недавно обновил требования к паролям для доступа студентов и преподавателей к внутренним ресурсам своей сети. Теперь жёсткие требования использования букв в разных регистрах, цифр и спецсимволов действуют только для коротких паролей, и чем длиннее пароль, тем эти требования мягче. При длине пароля от 8 до 11 символов их использование обязательно, от 12 до 15 — можно обойтись только буквами в разных регистрах и цифрами, от 16 до 19 — можно отказаться от цифр, а для паролей от 20 символов нет вообще никаких ограничений.

После серии громких взломов и утечек баз паролей, прошедшей за последние пару лет, многие заговорили о том, что пароли себя изжили и уже не способны эффективно защитить информацию — любой пароль, который легко запомнить, скорее всего легко и взломать. При ограниченной длине пароля для сохранения стойкости он должен больше походить на криптографический ключ в виде набора случайных символов, чем на секретное слово. И хранить такие ключи удобно в менеджере паролей, а не в собственной памяти.



Если же требуется легкость запоминания — лучше использовать парольные фразы из нескольких слов. Именно к этому и подталкивает пользователей новая политика Стэнфорда, и, пожалуй, многим сайтам стоит взять её в пример. Я до сих пор периодически сталкиваюсь с тем, что длина пароля ограничивается сверху, и использовать длинную фразу в качестве пароля невозможно. Или, независимо от длины пароля сайт упорно требует, чтобы в нём были спецсимволы, цифры и заглавные буквы. Особенно мучительно набирать такие пароли на мобильных устройствах без полноценной клавиатуры.

В принципе, в новых требованиях Стэнфордского университета нет ничего революционного, но это очень хороший пример того, как можно сочетать заботу о безопасности и удобство пользователей, приложив совсем немного усилий. Для наглядности университет опубликовал небольшую инфографику с объяснением новой политики и рекомендациями по использованию паролей:

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.

This entry passed through the Full-Text RSS service — if this is your content and you're reading it on someone else's site, please read the FAQ at http://ift.tt/jcXqJW.