Новые требования к надежности и хранению паролей

[KL FC Bot]

Требования, которые онлайн-сервисы предъявляют при проверке своих пользователей, — будь то длина пароля, обязательное указание номера телефона или необходимость биометрической проверки с подмигиванием, зачастую регулируются индустриальными стандартами. Одним из важнейших документов в этой сфере является NIST SP 800-63, Digital Identity Guidelines, разработанный Национальным институтом стандартов и технологий США. Требования этого стандарта обязательны для выполнения всеми государственными органами страны и всеми их подрядчиками, но на практике это означает, что их выполняют все крупнейшие IT-компании и действие требований ощущается далеко за пределами США.

Даже организациям, которые не обязаны выполнять требования NIST SP 800-63, стоит глубоко ознакомиться с его обновленными требованиями, поскольку они зачастую берутся за основу регуляторами в других странах и индустриях. Более того, свежий документ, прошедший четыре раунда публичных правок с индустриальными экспертами, отражает современный взгляд на процессы идентификации и аутентификации, включая требования к безопасности и конфиденциальности, и с учетом возможного распределенного (федеративного) подхода к этим процессам. Стандарт практичен и учитывает человеческий фактор — то, как пользователи реагируют на те или иные требования к аутентификации.

В новой редакции стандарта формализованы понятия и описаны требования к:

• passkeys (в стандарте названы syncable authenticators);
• аутентификации, устойчивой к фишингу;
• пользовательским хранилищам паролей и доступов — кошелькам (attribute bundles);
• регулярной реаутентификации;
• сессионным токенам.

Итак, как нужно аутентифицировать пользователей в 2024 году?

Аутентификация по паролю

Стандарт описывает три уровня гарантий (Authentication Assurance Level, AAL), где AAL1 соответствует самым слабым ограничениям и минимальной уверенности в том, что входящий в систему пользователь — тот, за кого себя выдает. Уровень AAL3 дает самые сильные гарантии и требует более строгой аутентификации. Только на уровне AAL1 допустим единственный фактор аутентификации, например просто пароль.

 

View the full article

[Umnik]

Я уже писал статью на эту тему. Так что, вот ещё раз про тоже самое, но моими словами: https://text.tchncs.de/umnik/o-paroliakh-i-parol-nykh-frazakh