سیاست گذرواژه
سیاست گذرواژه (انگلیسی: Password policy) مجموعه‌ای از قوانین است که برای افزایش امنیت رایانه‌ای طراحی شده و کاربران را تشویق می‌کند تا گذرواژه‌های قدرتمند به‌کار ببرند و از آن‌ها به درستی استفاده کنند. سیاست گذرواژه اغلب بخشی از مقررات رسمی یک سازمان است و ممکن است به عنوان بخشی از آموزش آگاهی‌بخشی امنیتی تدریس شود. این سیاست یا صرفاً جنبهٔ توصیه‌ای دارد، یا سیستم‌های رایانه‌ای کاربران را وادار به پیروی از آن می‌کنند. برخی دولت‌ها چارچوب‌های اصالت‌سنجی ملی دارند که الزامات مربوط به اصالت‌سنجی کاربر برای خدمات دولتی، از جمله الزامات مربوط به گذرواژه‌ها را تعیین می‌کنند.[۱]
دستورکارهای مؤسسهٔ ملی استانداردها و فناوری
مؤسسه ملی استانداردها و فناوری (کوته‌نوشت: NIST) وابسته به وزارت بازرگانی ایالات متحده دو استاندارد برای سیاست‌های گذرواژه منتشر کرده است که به‌طور گسترده‌ای پیروی شده‌اند.
۲۰۰۴
از سال ۲۰۰۴، «نشریهٔ ویژهٔ ۶۳–۸۰۰ NIST. پیوست الف»[۲] به افراد توصیه می‌کرد از حروف بزرگ و کوچک نامنظم، نویسه‌های ویژه و دست‌کم یک عدد استفاده کنند. این توصیه‌ای بود که بیشتر سامانه‌ها از آن پیروی می‌کردند و در شماری از استانداردهایی که کسب‌وکارها نیاز به رعایت آن‌ها داشتند، «تنیده» شده بود.
۲۰۱۷
با این حال، در سال ۲۰۱۷ یک به‌روزرسانی عمده این توصیه را تغییر داد، به‌ویژه این‌که تحمیل پیچیدگی و تغییرات دوره‌ای اکنون رویه‌ای نادرست خوانده می‌شود.[۳][۴]: 5.1.1.2
نکات کلیدی این دستورکارها عبارتند از:
- تأییدکنندگان نباید قوانین ترکیبی اعمال کنند (برای نمونه، ترکیبی از انواع نویسه‌های مختلف را الزامی نکنند و نویسه‌های تکراری پشت‌سرهم را منع ننمایند؛ توجه شود که این مورد در ویرایش ۴ از باید به نباید تغییر یافت)[۵]
- تأییدکنندگان نباید الزام به تغییر دلخواه یا دوره‌ای گذرواژه‌ها را اعمال کنند (برای نمونه، قانون تغییر ۹۰ روزه یا ۳۶۵ روزه وجود نداشته باشد)
- گذرواژه‌ها باید دست‌کم ۱۵ نویسه طول داشته باشند (توجه شود که این مورد در ویرایش ۴ از ۸ نویسه به ۱۵ نویسه تغییر یافت)[۶]
- سامانه‌های گذرواژه باید گذرواژه‌های برگزیدهٔ مشترکان را تا ۶۴ نویسه بپذیرند.
- همهٔ نویسه‌های اسکی چاپ‌پذیر، نویسهٔ فاصله و نویسه‌های یونیکد باید در گذرواژه‌ها پذیرفتنی باشند.
- هنگام ایجاد یا تغییر گذرواژه‌ها، تأییدکننده باید به مشترک اعلام کند که اگر گذرواژهٔ ضعیف یا لورفته‌ای انتخاب کرده، لازم است گذرواژهٔ دیگری برگزیند.
- تأییدکنندگان باید راهنمایی‌هایی مانند یک گذرواژه‌سنج برای یاری به کاربر در انتخاب گذرواژهٔ قدرتمند ارائه دهند.
- تأییدکنندگان باید گذرواژه‌ها را به شکلی ذخیره کنند که در برابر حمله‌های برون‌خط مقاوم باشد. گذرواژه‌ها باید با استفاده از یک تابع اشتقاق کلید یک‌طرفهٔ مناسب نمک‌زنی و هَش شوند. توابع اشتقاق کلید یک گذرواژه، یک نمک و یک ضریب هزینه را به عنوان ورودی دریافت کرده، سپس یک هش گذرواژه تولید می‌کنند. هدف آن‌ها این است که هر تلاش برای حدس گذرواژه توسط مهاجمی که یک پروندهٔ هش گذرواژه به دست آورده، پرهزینه و در نتیجه هزینهٔ یک حملهٔ حدس بالا یا بازدارنده باشد.
NIST منطق پشت این دستورکارهای جدید را در پیوست الف خود گنجانده است.
جستارهای وابسته
پانویس
- ↑ Improving Usability of Password Management with Standardized Password Policies بایگانی‌شده در ۲۰۱۳-۰۶-۲۰ توسط Wayback Machine. Retrieved on 2012-10-12.
- ↑ "Electronic Authentication Guideline" (PDF). nist.gov. USG. Retrieved 9 April 2020.
- ↑ Statt, Nick (7 August 2017). "Best practices for passwords updated after original author regrets his advice". The Verge. Archived from the original on 27 April 2020. Retrieved 9 April 2020.
- ↑ Grassi Paul A. (June 2017). SP 800-63B-3 – Digital Identity Guidelines, Authentication and Lifecycle Management. NIST. doi:10.6028/NIST.SP.800-63b.
This article incorporates text from this source, which is in the public domain. - ↑ "SP 800-63B-4 – Digital Identity Guidelines, Authentication and Lifecycle Management". NIST. Dec 2023. Archived from the original on 2024-09-13. Retrieved 2024-08-14.
- ↑ Temoshok, David; Fenton, James L.; Choong, Yee-Yin; Lefkovitz, Naomi; Regenscheid, Andrew; Galluzzo, Ryan; Richer, Justin P. (July 2025). Digital Identity Guidelines: Authentication and Authenticator Management. NIST Special Publication (SP) NIST SP 800-63B-4. p. 14. Retrieved 3 September 2025.
- اصالت‌سنجی گذرواژه