Zasady haseł NIST 800-63B: praktyczne podsumowanie 2026
Zrozumiałe podsumowanie wytycznych NIST SP 800-63B dotyczących haseł. Co się zmieniło, dlaczego zniesiono zasady złożoności i jak wdrożyć zgodne polityki.
Warto przeczytać
Czym jest NIST SP 800-63B?
NIST SP 800-63B jest częścią Wytycznych Tożsamości Cyfrowej wydanych przez National Institute of Standards and Technology. Choć obowiązkowe dla agencji federalnych USA, stały się globalnym standardem.
Najnowsza rewizja fundamentalnie zmieniła podejście do haseł, odrzucając dekady konwencjonalnej mądrości na rzecz praktyk opartych na dowodach.
Zrozumienie tych wytycznych jest kluczowe dla programistów, administratorów IT i użytkowników indywidualnych.
Powiązane wskazówki
Kluczowe zmiany: co NIST zrobił dobrze
Zniesienie obowiązkowych zasad złożoności. NIST wyraźnie odradza wymaganie wielkich liter, cyfr lub znaków specjalnych. Wymuszona złożoność prowadzi do przewidywalnych wzorców.
Koniec z okresowymi zmianami haseł. NIST teraz zaleca zmianę tylko gdy jest dowód na kompromitację.
Sprawdzanie wobec list wycieków. API HIBP używa k-anonimizacji do weryfikacji ponad 900 milionów haseł.
Pozwolenie na długie hasła. Systemy muszą akceptować co najmniej 64 znaki.
Wymagania minimalnej długości
NIST ustala absolutne minimum 8 znaków dla haseł użytkownika i 6 dla losowych PIN-ów. 12 znaków to zalecane minimum praktyczne, 15+ ideał.
Dla aktywów o wysokiej wartości zalecane jest 16+ znaków lub fraza 5+ słów.
Systemy nie powinny narzucać maksimum poniżej 64 znaków.
- 8 znaków: absolutne minimum NIST
- 12 znaków: zalecane minimum praktyczne
- 15+ znaków: zalecane dla ważnych kont
- 64 znaki: minimalne maksimum obsługiwane
- 6 cyfr: minimum dla losowych PIN-ów
Listy zakazanych haseł i sprawdzanie słownikowe
NIST wymaga sprawdzania nowych haseł wobec list popularnych, oczekiwanych lub skompromitowanych haseł.
System powinien podać jasne wyjaśnienie przy odrzuceniu.
API HIBP używa k-anonimizacji: wysyłane jest tylko pierwszych 5 znaków hasha SHA-1.
Przechowywanie haseł: wymagania hashowania
NIST wymaga funkcji wyprowadzania kluczy intensywnie korzystających z pamięci. Zalecane: Argon2id, bcrypt (minimalny czynnik 10), PBKDF2-HMAC-SHA256 (minimum 600 000 iteracji).
Argon2id to preferowany wybór dla nowych implementacji.
Nigdy nie używaj prostych funkcji kryptograficznych (MD5, SHA-1, SHA-256) do haseł.
Zawsze używaj unikalnej losowej soli dla każdego hasła (minimum 128 bitów).
Uwierzytelnianie wieloskładnikowe
NIST mocno zaleca MFA dla każdego systemu z wrażliwymi danymi. Trzy czynniki: wiedza, posiadanie, biometria.
NIST klasyfikuje authenticatory na trzy poziomy (AAL1-3). AAL2 jest odpowiedni dla większości aplikacji biznesowych.
Kody SMS to „ograniczony" authenticator. Preferowane są aplikacje TOTP lub klucze FIDO2.
Przy MFA NIST pozwala na złagodzenie niektórych wymagań, ale słabe hasła pozostają ryzykiem.
Lista kontrolna wdrożenia
Usuń wymagania złożoności. Minimalna długość 12, maksymalna co najmniej 64. Wdróż sprawdzanie HIBP.
Zaktualizuj przechowywanie do Argon2id, bcrypt lub PBKDF2. Transparentne rehashowanie przy następnym logowaniu.
Usuń okresowe zmiany. Wdróż wykrywanie wycieków i ograniczanie prób logowania.
Włącz MFA z priorytetem FIDO2/WebAuthn lub TOTP.
- Usunąć wymagania złożoności
- Długość min 12, max 64+
- Sprawdzać wobec list wycieków (HIBP)
- Używać Argon2id / bcrypt / PBKDF2
- Wyeliminować okresową rotację
- Ograniczyć próby logowania
- Wdrożyć MFA (FIDO2 > TOTP > SMS)
- Jasne komunikaty przy odrzuceniu
Kolejne kroki
Co dalej z silnym hasłem?
Silne hasło to dopiero pierwszy krok. Aby naprawdę chronić swoje konta, potrzebujesz niezawodnego menedżera haseł, który przechowuje, automatycznie wypełnia i synchronizuje dane logowania na wszystkich urządzeniach.
Porównaliśmy najpopularniejsze menedżery haseł 2026 roku, aby pomóc Ci dokonać właściwego wyboru.
NordPass wyróżnia się szyfrowaniem XChaCha20 z zerową wiedzą, wbudowaną obsługą passkeys i najbardziej intuicyjnym interfejsem wśród menedżerów premium.
| Funkcja | NordPass | 1Password | Bitwarden Free |
|---|---|---|---|
| Cena/mies | $1.49/mo | $2.99/mo | $0 |
| Urządzenia | Nielimitowane | Nielimitowane | Nielimitowane |
| Passkeys | Tak | Tak | Nie |
| Skaner wycieków | Tak | Tak | Nie |
| Wbudowane 2FA | Tak | Tak | Tak |
| Bezpieczne udostępnianie | Tak | Tak | Ograniczone |
| Autouzupełnianie | Tak | Tak | Tak |
To jest link partnerski. Jeśli dokonasz zakupu, mogę otrzymać prowizję — to pomaga utrzymać stronę za darmo.