สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ ( NIST ) กำลังจะปฏิวัตินโยบายการตั้งรหัสผ่านสำหรับระบบของรัฐบาลกลาง โดยเปลี่ยนแปลงจากแนวปฏิบัติที่ใช้มานานแต่มีปัญหา ในร่างของเอกสาร Special Publication 800-63-4 NIST ได้กำหนดแนวทางใหม่ซึ่งอาจเปลี่ยนแปลงวิธีการที่หน่วยงานรัฐบาลและองค์กรที่เกี่ยวข้องจัดการกับความปลอดภัยของรหัสผ่านอย่างมีนัยสำคัญ
การเปลี่ยนแปลงสำคัญที่ NIST เสนอ ได้แก่:
-
ยกเลิกการบังคับเปลี่ยนรหัสผ่าน: การบังคับให้เปลี่ยนรหัสผ่านเป็นประจำนั้นได้รับการยอมรับว่าอาจส่งผลเสีย เนื่องจากมักทำให้ผู้ใช้สร้างรหัสผ่านที่อ่อนแอลงแต่จำง่ายขึ้น
-
ยกเลิกข้อกำหนดประเภทตัวอักษร: หมดยุคของการบังคับให้ใช้ตัวพิมพ์ใหญ่ ตัวพิมพ์เล็ก ตัวเลข และสัญลักษณ์ผสมกัน NIST ตอนนี้สนับสนุนให้ใช้รหัสผ่านที่ยาวขึ้นโดยไม่มีกฎการประกอบที่เข้มงวด
-
ห้ามใช้คำถามด้านความปลอดภัย: การยืนยันตัวตนด้วยความรู้ เช่น การถามชื่อสัตว์เลี้ยงตัวแรกของผู้ใช้ จะถูกห้ามเนื่องจากมีความเสี่ยงต่อการโจมตีด้วยวิศวกรรมสังคมและการเดา
-
เพิ่มความยาวขั้นต่ำของรหัสผ่าน: ในขณะที่ยังคงกำหนดขั้นต่ำที่ 8 ตัวอักษร NIST แนะนำให้ส่งเสริมการใช้รหัสผ่านที่มีความยาวอย่างน้อย 15 ตัวอักษร
-
ขยายการยอมรับตัวอักษร: แนวทางใหม่แนะนำให้ยอมรับตัวอักษร ASCII ที่พิมพ์ได้ทั้งหมดและ Unicode ในรหัสผ่าน โดยนับตัวอักษร Unicode แต่ละตัวเป็นหนึ่งตัวอักษร
การเปลี่ยนแปลงเหล่านี้สะท้อนถึงความเข้าใจที่เพิ่มขึ้นว่านโยบายรหัสผ่านแบบดั้งเดิมหลายอย่างอาจส่งเสริมแนวปฏิบัติด้านความปลอดภัยที่ไม่ดีโดยไม่ตั้งใจ ตัวอย่างเช่น การเปลี่ยนรหัสผ่านบ่อยๆ มักทำให้ผู้ใช้สร้างรหัสผ่านง่ายๆ โดยเปลี่ยนแปลงเพียงเล็กน้อย ซึ่งทำให้ง่ายต่อการแฮ็ก
แม้ว่าแนวทางเหล่านี้จะมุ่งเน้นไปที่ระบบของรัฐบาลกลางเป็นหลัก แต่ก็มีแนวโน้มที่จะมีอิทธิพลต่อนโยบายรหัสผ่านในหลากหลายอุตสาหกรรม องค์กรที่มีปฏิสัมพันธ์กับรัฐบาลกลางจะต้องปฏิบัติตามมาตรฐานใหม่เหล่านี้ ซึ่งอาจนำไปสู่การนำแนวปฏิบัติที่เป็นมิตรกับผู้ใช้และมุ่งเน้นความปลอดภัยมากขึ้นไปใช้อย่างกว้างขวาง
สิ่งสำคัญที่ต้องทราบคือเอกสารของ NIST ยังอยู่ในร่างที่สองและเปิดรับฟังความคิดเห็นจากสาธารณะ อย่างไรก็ตาม มันเป็นสัญญาณของการเปลี่ยนแปลงครั้งสำคัญไปสู่มาตรการรักษาความปลอดภัยรหัสผ่านที่ปฏิบัติได้จริงและมีประสิทธิภาพมากขึ้น โดยให้ความสำคัญทั้งด้านการใช้งานและการป้องกันที่แข็งแกร่งจากภัยคุกคามทางไซเบอร์สมัยใหม่
เมื่อโปรแกรมจัดการรหัสผ่านเป็นที่แพร่หลายมากขึ้นและความเข้าใจของเราเกี่ยวกับความปลอดภัยทางไซเบอร์ที่มีประสิทธิภาพพัฒนาขึ้น แนวทางใหม่เหล่านี้จาก NIST ถือเป็นก้าวสำคัญในการปรับแนวปฏิบัติด้านความปลอดภัยให้สอดคล้องกับความเป็นจริงทางเทคโนโลยีในปัจจุบัน