Få insikter i hur du utformar produktlösenordspolicyer som är kompatibla, säkra och användarvänliga, med Logto som säkerställer säkerheten i din autentiseringsprocess.
I din produkt är det troligt att du kommer att behöva förlita dig på den klassiska autentiseringsmetoden – lösenord. Även om lösenorden inte kommer att ersättas helt, är de mer sårbara för attacker jämfört med alternativa autentiseringsmetoder. Är dina lösenordspolicyer verkligen säkra och kompatibla? Även om du är bekant med olika lösenordspolicytekniker, är det verkligen effektivt att kombinera dem?
Vi adresserar komplexiteten i utformning och konfiguration av lösenordspolicy genom att utföra djupgående forskning om NIST-specifikationer, undersöka ledande produktlösenordspolicyer och säkerställa en balanserad användarupplevelse. Genom att betona vikten av lösenordskompatibilitet strävar vi efter att avlasta dig från utmaningarna med lösenordsstrategi och tillhandahålla en omfattande process för att säkerställa kontosäkerhet genom sömlös integration av lösenord med andra multifaktorautentisering (MFA)-verifieringsfaktorer.
Produktdesigners brottas ofta med frågan om deras produkter är tillräckligt säkra, vilket leder till implementering av strikta och komplexa lösenordspolicyer. Till exempel, att kräva en kombination av versaler och gemener, siffror och till och med specialtecken, eller att kräva regelbundna lösenordsändringar för anställda.
När användare ställs inför sådana lösenordskrav klagar de snabbt: "Varför måste det vara så komplicerat? Att komma ihåg mina lösenord känns som ett heltidsjobb!" Detta lämnar produktcheferna undrande om en mer komplex lösenordspolicy verkligen är bättre. Låt oss bryta ner komponenterna i en omfattande lösenordspolicy för att ta reda på det.
I nästa avsnitt kommer vi att djupdyka i nyanserna av lösenordspolicyer, balansera säkerhet och användarvänlighet. Vi kommer att utforska hur man definierar rätt lösenordskrav och tillhandahålla datastödda insikter för att stödja vår tillvägagångssätt.
Först, efter att ha analyserat många produkter och NIST-specifikationer, har vi sammanställt en omfattande lista över lösenordsfaktorer och designrekommendationer.
Vi har grovt kategoriserat dem i tre grupper:
| Katalog | Faktorer | Analys (Se https://pages.nist.gov/800-63-3/sp800-63b.html#sec5 ) |
|---|---|---|
| Ställa in lösenordskrav | Längd | Att öka lösenordslängden är mer effektivt för att avskräcka lösenordsknäckning än komplexitet. NIST föreslår minst 8 tecken i längd, men längre lösenord bör tillåtas. |
| Teckentyper | Lösenord kan stödja olika teckentyper, inklusive Versala bokstäver, Gemena bokstäver, Siffror, Symboler och Unicode (mellanslagstecken bör också tillåtas). | |
| Lösenordspolicyer SKALL INTE uppmana användare att minnas specifika typer av information, eftersom detta har visat sig öka komplexiteten utan att effektivt förbättra säkerheten. https://www.notion.so/General-f14f0fb677af44cb840821776831a021?pvs=21 | ||
| Låg säkerhetsfraser | Det är tillrådligt att uppmana användare att ändra sina lösenord när de använder sig lätt gissade eller knäckbara mönster som upprepande eller sekventiella tecken, vanliga ord, användarinformation eller produktkontextinformation. | |
| Läckta lösenord | Nya användarlösenord bör kontrolleras mot en lista över läckta lösenord för att säkerställa att de inte är komprometterade. | |
| Lösenordssäkerhetsövervakning | Begränsning av lösenordsverifieringsfrekvens | Begränsa antalet på varandra följande felaktiga lösenordsförsök. När denna gräns är nådd, implementera säkerhetsåtgärder såsom att kräva multifaktorautentisering (MFA), skicka push-notifikationer, införa nedkylningstider eller till och med tillfälligt avbryta kontot. |
| Tvinga att byta lösenord | Lösenord SKALL INTE krävas att bytas ut godtyckligt. Däremot SKALL verifierare tvinga ett lösenordsbyte om det finns bevis på en komprometterad autentisering. | |
| Lösenordshistorik | Upprätthålla en rekord av tidigare lösenord som inte kan återanvändas. Överdrivna restriktioner på lösenordsåteranvändning rekommenderas inte, eftersom användare kan kringgå denna regel genom mindre förändringar. | |
| Rensa session efter att ha bytt lösenord | Tillåt användare att välja om de vill logga ut från andra enheter efter att ha bytt sitt lösenord. | |
| Lösenordsinmatningsupplevelse | Styrkemätare för lösenord | Erbjud vägledning till användare för att hjälpa dem välja starka memoriserade hemligheter. |
| Lösenordsprompt | Undvik att visa lösenords tips, eftersom de ökar sannolikheten för obehörig åtkomst. | |
| Kopiera och klistra in lösenordet | Tillåt användning av "klistra in"-funktionen, vilket underlättar användningen av lösenordshanterare. | |
| Visa lösenord | Ge ett alternativ för att visa lösenordet som det skrivs in, istället för att visa en serie punkter eller asterisker, tills det skickas. |
Kanske har du inte tålamodet att gå igenom varje punkt på checklistan. Om vi skulle designa ett kraftfullt lösenordsverktyg som omfattar alla dessa konfigurationsalternativ, kan det bli en huvudvärk för utvecklare, ännu mer komplext än de komplexa lösenordspolicyerna själva. Därför, låt oss ytterligare förenkla lösenordsfaktorerna till tre steg.
Som nämnts i tabellen, kan vissa föråldrade lösenordsregler verka för att förbättra säkerheten men ge lite tillbaka, ofta orsaker frustration och förvirring bland användare.
Vi erbjuder flexibla konfigurationsalternativ för minimilösenordspolicyer, med rekommenderade värden för att minska inlärningskurvan för utvecklare och ge en färdig Logga in-upplevelse. Dessa alternativ inkluderar:
För parametrar som inte kan anpassas, har vi implementerat backup-logik för att säkerställa lösenordssäkerhet. Om du har specifika anpassningskrav, vänligen meddela oss.
Med dessa tre enkla steg kan du effektivisera processen för att konfigurera din lösenordsupplevelse, balansera rätt mellan säkerhet och användarbekvämlighet. Logto gör det enkelt att sätta upp ett säkert och användarvänligt autentiseringssystem för din produkt. Håll utkik efter vår kommande MFA-funktion och ta kontroll över din produkts säkerhet som aldrig förr.