چرا دیگر توصیه نمی‌شود از قوانین پیچیده برای رمز عبور استفاده کرد
“`html
تغییرات امنیتی مربوط به رمزهای عبور در سال‌های اخیر به طور قابل توجهی تکامل یافته است. در گذشته بر این باور بودیم که هرچه رمز عبور پیچیده‌تر باشد و ترکیبی از حروف بزرگ و کوچک، اعداد و نمادها را شامل گردد، امنیت بیشتری را فراهم می‌کند؛ اما مؤسسه ملی استاندارد و فناوری آمریکا (NIST) در راهنمایی‌های جدید خود، دیگر چنین الزامات سخت‌گیرانه‌ای را توصیه نمی‌کند. این تغییر به این خاطر است که اجبار کاربران به رعایت قواعد پیچیده، لزوماً منجر به ایجاد رمزهای ایمن‌تر نمی‌شود و گاهی اوقات آنها را به سمت انتخاب الگوهای قابل پیش‌بینی سوق می‌دهد.
چرا پیچیده‌کردن رمز عبور همیشه مفید نیست؟
زمانی که یک وب‌سایت از کاربران می‌خواهد که حتماً از حروف بزرگ، اعداد و نمادهای خاص استفاده کنند، بسیاری از افراد به‌جای توليد رمزهای تصادفی واقعی، به الگوهای ساده‌تری تمایل پیدا می‌کنند؛ به عنوان مثال، با بزرگ کردن حرف اول، افزودن چند عدد به انتهای کلمه یا جایگزینی یکی از حروف با نمادی مشابه عمل می‌کنند. این نوع تغییرات برای مهاجمان قابل پیش‌بینی است و لزوماً موجب افزایش امنیت رمز نمی‌گردد.
از طرف دیگر، الزام به تغییر رمز عبور در فواصل زمانی کوتاه نیز ممکن است اثر معکوس ایجاد کند. کاربران معمولاً برای اینکه رمزهای جدید را به یاد بسپارند، تغییرات کوچکی در رمز قبلی ایجاد می‌کنند یا به سراغ گزینه‌های آسان‌تر می‌روند. به همین دلیل، NIST دیگر تغییر دوره‌ای رمز عبور را ضروری نمی‌داند، مگر اینکه شواهدی از افشای آن یا به خطر افتادن حساب وجود داشته باشد.
رمز عبور امن از نظر NIST چه ویژگی‌هایی دارد؟
در استاندارد جدید NIST، اهمیت طول رمز عبور بیشتر از الزامات ترکیب انواع کاراکترها است. این مؤسسه حداقل طول ۱۵ کاراکتر را برای رمزهای عبور تک‌عاملی تعیین کرده و توصیه می‌کند که خدمات امکان انتخاب رمزهایی با طول حداقل ۶۴ کاراکتر را نیز فراهم نمایند. البته برای رمزهای همراه با عامل احراز هویت دیگری، حداقل طول می‌تواند ۸ کاراکتر باشد.
طول رمز عبور اهمیت بیشتری از ترکیب اجباری انواع کاراکترها دارد
NIST همچنین پیشنهاد می‌کند خدمات، رمزهای عبور رایج، قابل حدس یا افشاشده در نشت‌های اطلاعاتی را شناسایی و در زمان انتخاب رمز جدید رد کنند. در عوض، کاربران باید بتوانند بدون هیچ‌گونه محدودیت‌های غیرضروری، از فاصله، نمادها و انواع کاراکترهای قابل چاپ استفاده کنند.
استفاده از نرم‌افزارهای مدیریت رمز عبور نیز در این استاندارد مورد تأکید قرار گرفته است؛ زیرا این ابزارها قادر به تولید رمزهای طولانی و تصادفی هستند و بدون نیاز به حفظ آنها، اطلاعات ورود را فراهم می‌آورند.
در نهایت، امنیت یک حساب فقط به انتخاب رمز عبور وابسته نمی‌باشد. NIST همچنین بر محدود کردن تعداد تلاش‌های ناموفق برای ورود و استفاده ایمن از روش‌های هش و نمک‌گذاری (Salt) برای ذخیره‌سازی رمزها تأکید دارد. فعال‌سازی احراز هویت چند مرحله‌ای نیز می‌تواند به عنوان یک لایه محافظتی اضافی عمل کند، چراکه حتی رمزهای طولانی و پیچیده نیز در برابر فیشینگ و سرقت اطلاعات مصون نمی‌باشند.
“`
