Правила паролей NIST 800-63B: практическое руководство 2026
Понятное изложение рекомендаций NIST SP 800-63B по паролям. Что изменилось, почему отменены правила сложности и как внедрить соответствующие политики.
Обязательно к прочтению
Что такое NIST SP 800-63B?
NIST SP 800-63B — часть Руководства по цифровой идентичности Национального института стандартов и технологий США. Хотя стандарты обязательны для федеральных агентств, они стали глобальным эталоном.
Последняя редакция фундаментально изменила взгляд на пароли, отвергнув десятилетия конвенциональной мудрости в пользу практик, основанных на доказательствах.
Понимание этих рекомендаций критически важно для разработчиков, IT-администраторов и обычных пользователей.
Связанные рекомендации
Ключевые изменения: что NIST сделал правильно
Отмена обязательных правил сложности. NIST явно рекомендует не требовать заглавных букв, цифр или специальных символов. Принудительная сложность ведёт к предсказуемым паттернам.
Прекращение периодической смены паролей. NIST теперь рекомендует менять только при доказательствах компрометации.
Проверка по спискам утечек. API HIBP Passwords использует k-анонимизацию для проверки более 900 миллионов паролей.
Разрешение длинных паролей. Системы должны принимать до минимум 64 символов.
Требования минимальной длины
NIST устанавливает абсолютный минимум 8 символов для пользовательских паролей и 6 для случайных PIN. 12 символов — рекомендуемый практический минимум, 15+ — идеал.
Для высокоценных активов рекомендуется 16+ символов или фраза из 5+ слов.
Системы не должны устанавливать максимум менее 64 символов.
- 8 символов: абсолютный минимум NIST
- 12 символов: рекомендуемый практический минимум
- 15+ символов: рекомендовано для важных аккаунтов
- 64 символа: минимальная максимальная длина
- 6 цифр: минимум для случайных PIN
Списки запрещённых паролей и словарные проверки
NIST требует проверки новых паролей по спискам распространённых, ожидаемых или скомпрометированных паролей.
При отклонении система должна предоставить чёткое объяснение.
API HIBP использует k-анонимизацию: отправляются только первые 5 символов SHA-1 хеша.
Хранение паролей: требования к хешированию
NIST требует использование функций выведения ключей с интенсивным использованием памяти. Рекомендованы: Argon2id, bcrypt (минимальный фактор 10), PBKDF2-HMAC-SHA256 (минимум 600 000 итераций).
Argon2id — предпочтительный выбор для новых реализаций.
Никогда не используйте простые хеш-функции (MD5, SHA-1, SHA-256) для хранения паролей.
Всегда используйте уникальную случайную соль для каждого пароля (минимум 128 бит).
Многофакторная аутентификация
NIST настоятельно рекомендует MFA для любых систем с конфиденциальными данными. Три фактора: знание, владение, биометрия.
NIST классифицирует аутентификаторы на три уровня (AAL1-3). AAL2 подходит для большинства бизнес-приложений.
SMS-коды классифицируются как «ограниченный» аутентификатор. Предпочтительны TOTP-приложения или FIDO2-ключи.
С MFA NIST позволяет ослабить некоторые требования, но слабые пароли остаются риском.
Чеклист внедрения
Удалите требования сложности. Минимальная длина 12, максимальная минимум 64. Внедрите проверку HIBP.
Обновите хранение до Argon2id, bcrypt или PBKDF2. Прозрачное перехеширование при следующем входе.
Уберите периодическую смену. Внедрите обнаружение утечек и ограничение попыток входа.
Включите MFA с приоритетом FIDO2/WebAuthn или TOTP.
- Убрать требования сложности
- Длина мин 12, макс 64+
- Проверять по спискам утечек (HIBP)
- Использовать Argon2id / bcrypt / PBKDF2
- Устранить периодическую ротацию
- Ограничить попытки входа
- Развернуть MFA (FIDO2 > TOTP > SMS)
- Чёткие сообщения при отклонении
Следующие шаги
Что делать дальше с надёжным паролем?
Надёжный пароль — это только первый шаг. Для полной защиты ваших аккаунтов нужен менеджер паролей, который хранит, автозаполняет и синхронизирует учётные данные на всех устройствах.
Мы сравнили самые популярные менеджеры паролей 2026 года, чтобы помочь вам сделать правильный выбор.
NordPass выделяется шифрованием XChaCha20 с нулевым знанием, встроенной поддержкой passkeys и самым интуитивным интерфейсом среди премиум-менеджеров.
| Функция | NordPass | 1Password | Bitwarden Free |
|---|---|---|---|
| Цена/мес | $1.49/mo | $2.99/mo | $0 |
| Устройства | Неограничено | Неограничено | Неограничено |
| Passkeys | Да | Да | Нет |
| Сканер утечек | Да | Да | Нет |
| Встроенный 2FA | Да | Да | Да |
| Безопасный обмен | Да | Да | Ограничено |
| Автозаполнение | Да | Да | Да |
Это партнёрская ссылка. При покупке я могу получить комиссию — это помогает поддерживать сайт бесплатным.