Какие минимальные ограничения (политики) нужно накладывать на пользователей при выборе пароля?
- Количество букв?
- Не словарное слово?
- Буквы и цифры?
- Разный регистр?
Что является золотой серединой между трудностью запоминания и трудностью взлома?
Stack Overflow на русском — это сайт вопросов и ответов для программистов. Присоединяйтесь! Регистрация займёт не больше минуты.
Присоединиться к сообществуЧто является золотой серединой между трудностью запоминания и трудностью взлома?
Нет таковой. Хотя бы по причине того, что пароли требуются много в каких местах. Следовательно, стандартный алгоритм стандартного пользователя: "а, давай-ка я буду везде использовать один и тот же пароль". При этом какой бы сложный он ни был не важно, т.к. если утечет в одном месте, то злоумышленник получит доступ ко всему.
Еще "классикой жанра" является записывание всех паролей в одно место (блокнот, текстовый файл на ПК, пр. варианты). Тут тоже понятно, что самое слабое звено - этот носитель.
Количество букв?Не словарное слово?Буквы и цифры?Разный регистр?
Например, простой для запоминания пароль, но трудно подбираемый по словарю:SO2#o2=$O3.
По сути написана химическая реакция из школьного курса, но без коэффициентов. Часть символов заменена на спец. знаки.
На самом деле хочу сказать, что достаточно придумать такой пароль, чтобы он не подбирался по словарю. А как это сделаете - дело Ваше. Против брут-форса ведь ничего не поможет. Тут можно разве что наращивать длину, но за пределами определенной длины будут следующие эффекты:
Очень аккуратно нужно обращаться с паролями с национальными символами. Так, например, неочевидно как вводить пароль в виде китайских иероглифов на русскоязычной раскладке :-) К тому же это может плодить глюки. Поэтому "безопасными" символами можно считать латиницу+ цифры + спец. символы (!@#$%^&*()_+?>< и пр.)
чтобы не напрягать пользователя запоминанием длинного пароля, а также для защиты от брут-форса, можно задать небольшую временную паузу между вводом и проверкой пароля и более длинную паузу, если пароль введен неверно (например 2 и 4 секунды). В этом случае подбор брут-форсом может занять очень много лет или веков :)