Parolalara maksimum uzunluk koymalı mıyım?

Parolalara minimum uzunluk eklemenin çok mantıklı olduğunu anlayabiliyorum (kullanıcıları kendilerinden kurtarmak için), ancak bankamın parolaların 6 ila 8 karakter uzunluğunda olması gerekiyor ve merak etmeye başladım ...

• Bu sadece kaba kuvvet saldırılarını kolaylaştırmakla kalmaz mı? (Kötü)
• Bu, şifremin şifrelenmemiş olarak saklandığını mı ima ediyor? (Kötü)

Kendileri için çalışan iyi bir BT güvenlik uzmanı olan (umarım) birisi maksimum şifre uzunluğu uyguluyorsa, benzer bir şey yapmayı düşünmeli miyim? Bunun artıları / eksileri nelerdir?

Parolalar, uzunluğu ne olursa olsun, 32, 40, 128 şeklinde özetlenir. Minimum uzunluğun tek nedeni kolay tahmin edilen şifreleri önlemektir. Maksimum uzunluk için bir amaç yoktur.

Maksimum uzunluk empoze ederseniz, kullanıcılarınıza neden bir kötülük yaptığınızı açıklayan zorunlu XKCD :

Şifre alanında belirtilen maksimum uzunluk, GÜVENLİK UYARISI olarak okunmalıdır . Herhangi bir mantıklı, güvenlik bilincine sahip kullanıcı en kötüsünü kabul etmeli ve bu sitenin şifrenizi kelimenin tam anlamıyla saklamasını beklemelidir (yani epochwolf tarafından açıklandığı gibi karma değildir).

Bu durumda:

1. Mümkünse bu siteyi veba gibi kullanmaktan kaçının. Güvenlik hakkında hiçbir şey bilmiyorlar.
2. Siteyi gerçekten kullanmanız gerekiyorsa, başka bir yerde kullandığınız herhangi bir şifrenin aksine şifrenizin benzersiz olduğundan emin olun.

Eğer şifreleri kabul eden bir site geliştiriyorsanız, yok aynı fırça ile lanmış istemedikçe, saçma bir şifre limiti koydu.

[Dahili olarak, elbette kodunuz mamut parolalarının bozulmasını önlemek için yalnızca ilk 256/1024 / 2k / 4k / (ne olursa olsun) baytlarına "önemli" gibi davranabilir.]

Güvenilmeyen kaynaklardan şifreyi kabul ederseniz, tamamen sınırsız şifre uzunluğuna izin vermenin büyük bir dezavantajı vardır.

Gönderen size o kadar uzun bir şifre vermeye çalışabilir ki diğer insanlar için bir hizmet reddi ile sonuçlanabilir. Örneğin, parola 1 GB veri ise ve tüm zamanınızı harcarsanız, bellek bitene kadar kabul edin. Şimdi bu kişinin size bu şifreyi kabul etmek istediğiniz sayıda gönderdiğini varsayın. İlgili diğer parametreler konusunda dikkatli değilseniz, bu bir DoS saldırısına yol açabilir.

Üst sınırı 256 karakter gibi bir şeye ayarlamak bugünün standartlarına göre aşırı cömert görünüyor.

İlk olarak, bankaların kendileri için çalışan iyi BT güvenlik uzmanlarına sahip olduğunu varsaymayın. Bolca yapma .

Bununla birlikte, maksimum şifre uzunluğu değersizdir. Genellikle kullanıcıların yeni bir şifre (şu anda her sitede farklı şifreler kullanmanın değeri hakkındaki argümanlar) oluşturmalarını gerektirir; Ayrıca kaba kuvvetten sosyal mühendisliğe kadar herhangi bir vektörle saldırıya karşı duyarlılığı büyük ölçüde artırır.

Maksimum şifre uzunluğunu 128 karakterden daha az ayarlamak artık OWASP Kimlik Doğrulama Hile Sayfası tarafından önerilmiyor

https://www.owasp.org/index.php/Authentication_Cheat_Sheet

Paragrafın tamamını alıntılamak:

Daha uzun parolalar daha büyük bir karakter birleşimi sağlar ve bu nedenle saldırganın tahmin etmesini zorlaştırır.

Minimum şifre uzunluğu uygulama tarafından uygulanmalıdır. 10 karakterden kısa şifreler zayıf kabul edilir ([1]). Minimum uzunluk uygulaması bazı kullanıcılar arasında parolaları ezberlerken sorunlara neden olabilirken, uygulamalar onları tipik parolalardan çok daha uzun ve hatırlaması daha kolay parolalar (cümleler veya kelime kombinasyonları) ayarlamalarına teşvik etmelidir.

Kullanıcıların parola oluşturmasını engelleyeceğinden, maksimum parola uzunluğu çok düşük ayarlanmamalıdır. Tipik maksimum uzunluk 128 karakterdir. 20 karakterden kısa parolalar genellikle yalnızca küçük Latin karakterlerden oluşuyorsa zayıf kabul edilir. Her karakter önemlidir !!

Kullanıcının yazdığı her karakterin gerçekten parolaya dahil edildiğinden emin olun. Şifreyi kullanıcının sağladığından daha kısa bir sürede kısaltan sistemler gördük (ör. 20'ye girdiklerinde 15 karakterde kısaltılmış). Bu genellikle TÜM şifre giriş alanlarının uzunluğunun maksimum uzunluk şifresiyle tam olarak aynı uzunluğa ayarlanmasıyla gerçekleştirilir. Maksimum şifre uzunluğunuz 20-30 karakter gibi kısasa bu özellikle önemlidir.

Maksimum şifre uzunluğunu zorunlu kılmak için hayal edebileceğim bir neden, ön ucun, biri maksimum şifre uzunluğunu zorunlu kılan birçok eski sistem arka ucuyla arayüz kurması gerekip gerekmediğidir.

Başka bir düşünme süreci, bir kullanıcı kısa bir parola ile gitmeye zorlanırsa, kolayca tahmin edilebilecek (arkadaşları / aileleri tarafından) bir yakalama ifadesi veya takma addan rastgele anlamsızca icat etme olasılıklarının daha yüksek olması olabilir. Bu yaklaşım elbette yalnızca ön uç, sayıları / harfleri karıştırmayı zorlarsa ve l33t-speak ile yazılmış kelimeler de dahil olmak üzere herhangi bir sözlük kelimesi olan şifreleri reddederse etkilidir.

Bazı maksimum şifre uzunluğunu dayatmanın potansiyel olarak geçerli bir nedeni, onu karıştırma işleminin (bcrypt gibi yavaş bir karma işlevinin kullanılması nedeniyle) çok fazla zaman almasıdır; sunucuya karşı DOS saldırısı gerçekleştirmek için kötüye kullanılabilecek bir şey.

Daha sonra, sunucuların çok uzun süren istek işleyicileri otomatik olarak bırakacak şekilde yapılandırılması gerekir. Bu yüzden bunun büyük bir sorun olacağından şüpheliyim.

Bence her iki mermi noktasında da haklısın. Parolaları karma değerini gerektiği gibi saklıyorlarsa, parola uzunluğu DB şemalarını hiçbir şekilde etkilemez. Açık uçlu bir parola uzunluğuna sahip olmak, kaba kuvvet saldırganının hesaba katması gereken bir değişkeni daha atar.

Kötü tasarımın yanı sıra şifre uzunluğunu sınırlamak için herhangi bir mazeret görmek zor.

Maksimum şifre uzunluğuna görebildiğim tek fayda, aşırı uzun bir şifrenin neden olduğu bir arabellek taşması saldırısı riskini ortadan kaldırmak olacaktır, ancak bu durumu ele almanın çok daha iyi yolları vardır.

Uzun şifreleri doğrulamamayı söyleyen insanları görmezden gelin. Owasp tam anlamıyla 128 karakterin yeterli olması gerektiğini söylüyor. Sadece yeterli nefes alanı vermek için biraz daha 300, 250, 500 diyebilirsiniz.

https://www.owasp.org/index.php/Authentication_Cheat_Sheet#Password_Length

Parola Uzunluğu Daha uzun parolalar daha büyük karakter birleşimi sağlar ve bu nedenle saldırganın tahmin etmesini zorlaştırır.

...

Kullanıcıların parola oluşturmasını engelleyeceğinden, maksimum parola uzunluğu çok düşük ayarlanmamalıdır. Tipik maksimum uzunluk 128 karakterdir . 20 karakterden kısa parolalar genellikle yalnızca küçük Latin karakterlerden oluşuyorsa zayıf kabul edilir.

Depolama ucuzdur, neden şifre uzunluğunu sınırlandırırsınız. Parolayı sadece karma işleminin aksine şifreliyor olsanız bile, 64 karakterlik bir dize şifrelemek için 6 karakterli bir dizeden daha fazlasını almaz.

Büyük olasılıkla banka sistemi daha eski bir sistemi kaplıyor olabilir, bu yüzden sadece şifre için belirli bir alana izin verebiliyorlardı.

Bankam da bunu yapıyor. Herhangi bir şifreye izin verirdi ve 20 karakterli bir şifrem vardı. Bir gün değiştirdim ve bakalım bana en fazla 8 tane verdi ve eski şifremde olan alfasayısal olmayan karakterleri kesti. Bana bir anlam ifade etmedi.

Bankadaki tüm arka uç sistemleri, alfa-sayısal olmayan 20 karakterli şifremi kullanırken daha önce çalışmıştı, bu nedenle eski destek bunun nedeni olamaz. Ve öyle olsa bile, yine de keyfi parolalara sahip olmanıza ve daha sonra eski sistemlerin gereksinimlerine uyan bir karma yapmanıza izin vermelidirler. Daha da iyisi, eski sistemleri düzeltmeleri gerekir.

Akıllı kart çözümü benimle iyi sonuç vermeyecekti. Zaten olduğu gibi çok fazla kartım var ... Başka bir hile yapmaya ihtiyacım yok.

İsteğe bağlı boyutlu bir parolayı kabul ederseniz, parola karma işleminden önce performans nedenleriyle bir perde uzunluğuna kısaltıldığını varsayar. Kesilme ile ilgili sorun, sunucu performansınız zaman içinde arttıkça, kesin olarak farklı olacağı için kesmeden önce uzunluğu kolayca arttıramayacağınızdır. Elbette, her iki uzunluğun da karma ve kontrol edildiği bir geçiş döneminiz olabilir, ancak bu daha fazla kaynak kullanır.

Gerekmedikçe herhangi bir sınırlama getirmemeye çalışın. Dikkatli olun: birçok farklı durumda gerekli olabilir ve gerekli olacaktır. Eski sistemlerle uğraşmak bu nedenlerden biridir. Çok uzun parolaların durumunu test ettiğinizden emin olun (sisteminiz 10MB uzun parolalarla başa çıkabilir mi?) Kullanacağınız Anahtar Tanımlama İşlevleri (KDF) (genellikle PBKDF2, bcrypt, scrypt) çok zaman ve kaynak gerektireceği için Hizmet Reddi (DoS) sorunlarıyla karşılaşabilirsiniz. Gerçek hayat örneği: http://arstechnica.com/security/2013/09/long-passwords-are-good-but-too-much-length-can-be-bad-for-security/

Maksimum uzunluk olmalı mı? Bu, BT'de merak edilen bir konudur, çünkü daha uzun parolaların hatırlanması genellikle daha zordur ve bu nedenle yazılma olasılığı daha yüksektir (bariz nedenlerden dolayı BÜYÜK bir hayır-hayır). Daha uzun parolalar da daha fazla unutulma eğilimindedir, bu da bir güvenlik riski olmamasına rağmen, idari zorluklara, üretkenliğin düşmesine vb. Yol açabilir. Bu sorunların baskı altında olduğuna inanan yöneticilerin parolalara maksimum uzunluk getirmesi muhtemeldir.

Ben şahsen bu özel konuya, her kullanıcıya kendi inanıyorum. 40 karakterlik bir şifreyi hatırlayabileceğinizi düşünüyorsanız, o zaman size daha fazla güç!

Bununla birlikte, parolaların hızlı bir şekilde eski bir güvenlik modu haline geldiğini söyledikten sonra, Akıllı Kartlar ve sertifika kimlik doğrulaması, belirttiğiniz bir güç olduğu için kaba kuvveti imkansız hale getirmenin çok zor olduğunu ve özel ile sunucu ucunda yalnızca ortak bir anahtarın saklanması gerektiğini kanıtladı tuşuna basın.

Daha uzun parolalar veya parola cümleleri, yalnızca uzunluğa göre kırılması daha zordur ve karmaşık bir parola gerektirmekten daha kolay hatırlanır.

Muhtemelen oldukça uzun (10+) minimum uzunluk için gitmek en iyisidir, uzunluğu işe yaramaz.

Eski sistemler (daha önce belirtilmiş) veya dış satıcı sistemlerinin arabirimleri için 8 karakterli başlık gerekebilir. Ayrıca kullanıcıları kendilerinden kurtarmak için yanlış yönlendirilmiş bir girişim olabilir. Bu şekilde sınırlandırılması, sistemde çok fazla pssw0rd1, pssw0rd2 vb. Parolalara neden olur.

Parolaların karıştırılmamasının bir nedeni, kullanılan kimlik doğrulama algoritmasıdır. Örneğin, bazı özet algoritmaları , kimlik doğrulama mekanizması hem istemci hem de sunucunun girilen parola üzerinde aynı matematiği gerçekleştirmesini gerektirdiğinden (genellikle parola ile her seferinde aynı çıktıyı üretmeyecek şekilde sunucuda parolanın düz metin sürümünü gerektirir) iki makine arasında paylaşılan rasgele oluşturulmuş bir 'nonce' ile birleştirilir).

Genellikle bu, sindirim bazı durumlarda kısmen hesaplanabildiği için güçlendirilebilir, ancak her zaman değil. Parolanın ters çevrilebilir şifrelemeyle depolanması için daha iyi bir yol vardır - bu, uygulama kaynaklarının şifreleme anahtarını içereceklerinden korunması gerektiği anlamına gelir.

Digst yetkilendirmesi, aksi takdirde şifrelenmemiş kanallar üzerinden kimlik doğrulamaya izin vermek için vardır. SSL veya başka bir tam kanal şifrelemesi kullanılıyorsa, özet doğrulama mekanizmalarını kullanmaya gerek yoktur, bunun yerine parolalar karma olarak saklanabilir (parolalar tel üzerinden güvenli bir şekilde düz metin gönderilebileceğinden (belirli bir güvenli değer için).

Sadece 8 karakter uzunluğunda şifreler kulağa yanlış geliyor. Bir sınır olması gerekiyorsa, en az 20 karakter daha iyi bir fikirdir.

Uygulanması gereken tek sınır 2000 harf sınırı veya insainly yüksek başka bir şey gibi olduğunu düşünüyorum, ama sadece bir sorun ise veritabanı boyutunu sınırlamak için