Új jelszóválasztási elvárások

Image by Gerd Altmann from Pixabay

A PCLinuxOS Magazine novemberi számának egyik cikke beszámol arról, hogy a NIST (USA Nemzeti Szabványügyi és Technológiai Intézet) új ajánlásokat adott ki a jelszavak készítésére és használatára vonatkozóan. A NIST ajánlásai az USA kormány kiberbiztonsági ajánlásainak minősülnek. Noha a szervezetnek a végrehajtatásra nincsenek jogosítványai, az ajánlásait mindig megfogadják.

A jelszóképzéssel és -használattal kapcsolatos ajánlásoknak két kategóriája van, a kötelezően betartandó (SHALL, SHALL NOT) és az erősen ajánlott (SHOULD, SHOULD NOT).

Ajánlások:

3.1.1.1: Jelszavas azonosítás

A jelszót vagy az érintett választja, vagy a biztonsági tanúsítványszolgáltató generálja. Ha az utóbbi nem fogadja el a felhasználó jelszavát, mert az a szokásosan használt jelszavak jegyzékében megtalálható, kitalálható, vagy ismert, akkor a felhasználó köteles (SHALL) más jelszót választani. A jelszó összetételére tilos (SHALL NOT) más feltételeket támasztani.

3.1.1.2: Jelszóhitelesítés

A jelszavak összeállításával kapcsolatban kilenc alapvető elvárást fogalmaztak meg:

1. a jelszó minimum nyolc, de lehetőség szerint tizenöt karaktert tartalmazzon;

2. a hitelesítők és tanúsítványszolgáltatók számára erősen ajánlott (SHOULD), hogy tegyék lehetővé legfeljebb 64 karakter hosszúságú jelszavak használatát;

3. a jelszavakban az összes ASCII nyomtató karakter, közötte a szóköz használatát lehetővé kell tenni;

4. erősen ajánlott az Unicode karakterek elfogadása, ahol a jelszó hosszának vizsgálatakor minden egyes Unicode karaktert kötelező önálló karakterként értelmezni;

5. a jelszavak összeállításánál tilos (SHALL NOT) további elvárást megfogalmazni, ú.m. kis- és nagybetűk, számok és szimbólumok stb. kötelező használata. Bebizonyosodott, hogy négy, vagy öt véletlenszerűen választott szó használata legalább annyira biztonságos, miközben jóval könnyebben megjegyezhető;

6. tilos (SHALL NOT) a jelszavak időszakonkénti lecserélését követelni, hacsak nincs bizonyíték a felhasználó jelszavának nyilvánosságra kerülésére;

7. a hitelesítők és a biztonsági tanúsítványszolgáltatók ne engedélyezzék – tiltsák meg – jelszóemlékeztető tárolását nem ellenőrzött igénylők által elérhető helyen;

8. a felhasználóktól tilos ismeretalapú azonosításkérővel pl. „Mi volt az első háziállatod neve?”, vagy biztonsági kérdéssel kérni a jelszót megadásakor;

9. a hitelesítők kötelesek a teljes bevitt jelszót ellenőrizni (azaz nem lehet levágni)

A követelményeket további ajánlások egészítik ki.

Unicode karakterek esetén ajánlott NFKC, vagy NFKD normalizáció alkalmazása – akit érdekel, nézzen utána.

Jelszóválasztásnál (első, vagy változtatás esetén) az ellenőrzés a teljes jelszóra terjedjen ki.

A jelszó ellenőrzésekor használt lista legyen elegendően nagy méretű, hogy brute force jelszótörési kísérlet esetén ne érje meg tovább próbálkozni.

A hitelesítők adjanak támpontot a felhasználóknak erős jelszót választani.

A hitelesítők kötelesek limitálni a lehetséges belépési kísérletek számát.

A hitelesítők kötelesek lehetővé tenni jelszókezelő használatát és erősen javasolt „beillesztés” lehetőségét biztosítani. A felhasználók szívesebben választanak erősebb jelszavat, ha jelszókezelőt használhatnak.

A felhasználók támogatása érdekében lehetővé kell tenni, hogy lássák a beírt jelszót, ha megfelelő környezetben vannak, illetve rövid ideig felvillantani a karaktert a beírás közben.

A hitelesítők és tanúsítványszolgáltatók elfogadott titkosítást és hitelesített, védett csatornát kötelesek használni a jelszó bekérésekor.

A hitelesítők kötelesek a jelszavakat külső támadás ellen védett formában tárolni. A jelszavakhoz véletlenszerű karaktereket kell adni a titkosítás előtt a nehezebb feltörés érdekében. (Salt and hash) Jóváhagyott titkosítási eljárásként a legfrissebb [SP800-132], vagy a NIST jelszótitkosítási iránymutatásai alkalmazandóak.

A hozzáadott karaktercsoport legalább 32 bites kell legyen és igyekezni kell a tárolt hash-ek egyediségre. (Itt még vannak további részletek a hitelesítők számára.)

Mivel a téma csak mint felhasználót érint, így a részletesebb értelmezéstől eltekintenék. Vegyétek ezt annak, ami -- figyelemfelhívás.