NIST propõe novas regras “sem confusões” para passwords

Está cansado de estar constantemente a mudar de password? Se calhar só faz sentido mudar for fácil de adivinhar ou se tiver sido comprometida. O NIST propõe novas "regras" para passwords. Saiba quais.

O NIST (National Institute of Standards and Technology) é uma agência do governo dos Estados Unidos que faz parte do Departamento de Comércio dos EUA. Tem como missão promover a inovação e a competitividade industrial, desenvolvendo padrões e tecnologias para diversas áreas, como ciência, tecnologia, segurança da informação, etc.

A segunda versão pública do draft  sobre diretrizes para escolha de passwords do NIST (SP 800-63-4) descreve os requisitos técnicos, bem como as melhores práticas recomendadas para a gestão e autenticação com recurso a passwords.

As diretrizes mais atuais indicam que os credential service providers (CSP), devem parar de exigir que aos utilizadores definam passwords com caracteres específicos ou exigir alterações periódicas de password (geralmente a cada 60 ou 90 dias). Além disso, os CSPs devem parar de usar autenticação baseada em conhecimento ou perguntas de segurança ao selecionar passwords.

Outras recomendações do NIST sobre passwords

Passwords devem ter no mínimo oito caracteres, idealmente 15 caracteres, ou mais Passwords devem ter no máximo 64 caracteres Os CSPs devem permitir que caracteres ASCII e Unicode sejam incluídos nas passwords. Os verificadores e os CSPs NÃO DEVEM impor outras regras de composição (por exemplo, exigir misturas de diferentes tipos de caracteres) para passwords e Verificadores e CSPs NÃO DEVEM exigir que os utilizadores alterem as passwords periodicamente. No entanto, os verificadores DEVEM forçar uma alteração se houver evidência de comprometimento do autenticador.

SP 800-63-4