NIST планує переглянути стандарти щодо паролів.
Національний інститут стандартів і технологій США (The National Institute of Standards and Technology, NIST), федеральна установа, що встановлює технологічні стандарти для урядових установ, організацій зі стандартизації та приватних компаній, виступив з ініціативою змінити деякі правила, що стосуються паролів. Зокрема, запропоновано відмовитись від обов'язкового скидання паролів, обмеження на використання певних символів та контрольних питань.
Дотримання вимог до створення паролів, встановлених роботодавцями, федеральними установами та онлайн-платформами, часто стає справжнім викликом. Незважаючи на те, що ці правила розроблені для посилення безпеки, вони іноді можуть навпаки створювати проблеми. Проте, необхідність дотримання цих вимог залишається важливою темою.
У вересні представники NIST випустили другу публічну версію проекту SP 800-63-4, яка є останнім оновленням Digital Identity Guidelines. У цьому документі викладені технічні вимоги та рекомендації щодо ідентифікації цифрових даних в інтернет-просторі. Усі організації, що взаємодіють з федеральним урядом США в онлайн-режимі, зобов'язані дотримуватися цих вказівок.
Розділ, присвячений паролям, містить безліч правил, що суперечать сучасним нормам. Наприклад, пропонується відмовитись від вимоги періодично змінювати паролі.
Ця вимога була запроваджена давно, в епоху, коли питання безпеки паролів тільки почали досліджувати, і користувачі часто обирали надто прості слова. Протягом часу більшість платформ почали наполягати на необхідності створення міцніших паролів, що складаються з випадкових знаків або фраз. Дослідження показують, що примусова зміна паролів кожні один-три місяці може навпаки знизити рівень безпеки, адже багато людей у результаті обирають менш надійні паролі.
Ще одна рекомендація, яка вважається шкідливою на думку NIST, це обов'язкове використання певних символів у паролі. Якщо пароль досить довгий і випадковий, такі обмеження стають зайвими.
Оновлені рекомендації NIST вказують, що деякі практики слід заборонити, щоб відповідати стандартам:
Ці нові рекомендації не є обов'язковими для всіх, однак вони можуть слугувати основою для відмови від старих методів.
