Правила паролей NIST 800-63B: современные рекомендации

Документ NIST 800-63B вносит значительные изменения в подход к безопасности паролей. Многие устаревшие требования, такие как обязательная периодическая смена паролей или строгие правила сложности — например, обязательное наличие специальных символов, цифр и заглавных букв в фиксированных сочетаниях — признаны малоэффективными. Часто они приводили к созданию предсказуемых паролей или к их записи пользователями, что снижало реальную безопасность.

Основное внимание уделено использованию фраз-паролей. Вместо коротких и сложных паролей рекомендуется создавать более длинные и легко запоминающиеся фразы. Фразы значительно повышают энтропию, делая их трудными для подбора с помощью атак методом перебора или словарей. Например, фраза «ЗелёнаяРека2026!» является длинной, сложной для угадывания и легко запоминающейся для пользователя.

Особое внимание уделяется удобству для пользователя. Пользователи должны иметь возможность выбирать пароли или фразы, которые они могут легко запомнить, не жертвуя безопасностью. Такой подход снижает риск повторного использования паролей и их записи на бумаге, повышая общую защиту.

Ещё один ключевой аспект — многофакторная аутентификация (MFA). Для систем с высоким уровнем риска MFA является обязательной. Это сочетание факторов, таких как что-то, что знает пользователь (пароль), что-то, что у него есть (токен или смартфон) и что-то, что является его уникальной биометрической характеристикой, значительно снижает зависимость только от пароля и повышает устойчивость к атакам.

Кроме того, NIST 800-63B рекомендует проверять пароли на совпадение с общими или скомпрометированными списками, предотвращая использование легко угадываемых паролей. Также документ не поддерживает произвольные правила сложности и небезопасные вопросы для восстановления пароля. Цель — создать современную политику, которая объединяет реальную безопасность и удобство использования.

В итоге, NIST 800-63B обновляет правила создания паролей, отдавая предпочтение фразам-паролям, высокой энтропии и MFA, а также отказываясь от устаревших требований к сложности и регулярной смене пароля. Следование этим рекомендациям позволяет организациям поддерживать баланс между безопасностью и удобством для пользователей, снижая риск компрометации данных.