"ये मूर्खतापूर्ण नियम हैं जो सभी को परेशान करते हैं": पासवर्ड फ़ील्ड प्रथाओं की चर्चा

हाल ही में, GitHub पर अनुचित रूप से जटिल और बस पासवर्ड के लिए असफल नियमों वाले संसाधनों की एक सूची प्रकाशित की गई है। चयन पर सक्रिय रूप से चर्चा की जा रही है, और हमने चर्चा में शामिल होने का फैसला किया है।


तस्वीरें - आंद्रे हंटर - अनप्लैश

अज्ञात पासवर्ड लंबाई

लगभग सभी साइटों पर पासवर्ड की लंबाई पर प्रतिबंध है। स्टैक ओवरफ्लो और कोडिंग हॉरर ब्लॉग के लेखक जेफ एटवुड कहते हैं कि दस वर्णों की एक न्यूनतम पट्टी उपयोगकर्ता के कमजोर या लोकप्रिय पासवर्ड को 80% तक दर्ज करने की संभावना को कम करती है। लेकिन ऐसे संसाधन हैं जो न्यूनतम पासवर्ड लंबाई की रिपोर्ट करते हैं, लेकिन ऊपरी सीमा की उपस्थिति का संकेत नहीं देते हैं। चयन में आप बड़े विक्रेताओं की साइटों के उदाहरण पा सकते हैं, जहां पासवर्ड फ़ील्ड में 20 वर्णों तक के वाक्यांशों की अनुमति है। लेकिन आप इस सीमा के बारे में विशेष रूप से परीक्षण और त्रुटि से सीख सकते हैं।

संयुक्त राज्य अमेरिका में इलेक्ट्रॉनिक रोड टोल सिस्टम की साइट के डेवलपर्स आगे बढ़ गए। पासवर्ड फ़ील्ड आमतौर पर "अतिरिक्त" वर्णों को काटती है। उपयोगकर्ता तुरंत समझ नहीं पाते हैं कि उपयुक्त फ़ील्ड में दर्ज किए जाने पर पासवर्ड मेल क्यों नहीं खाते। इसी तरह की समस्या न्यूजीलैंड के एक वाहक की वेबसाइट पर मौजूद है । इसके अलावा, यह सभी पृष्ठों पर दिखाई नहीं देता है। ऐसे कई संसाधन हैं - एक हैकर समाचार निवासी नोट करता है कि उसने पहले ही गणना खो दी है, कितनी बार उसे जेएस स्क्रिप्ट को ब्राउज़र के स्रोत टैब में मैन्युअल रूप से संशोधित करना पड़ा ताकि पासवर्ड सामान्य रूप से संसाधित हो।

यह माना जाता है कि पासवर्ड की "कमी" के साथ समस्या उनके भंडारण की विधि में छिपी हुई है। शायद एक्सेस स्पष्ट (हैशिंग के बिना) हैं - उदाहरण के लिए, वैरचेयर फ़ील्ड वाले डेटाबेस में।

पासवर्ड नियमित रूप से बदलें

यह माना जाता है कि यदि पासवर्ड विश्वसनीय है और लीक में हाइलाइट नहीं किया गया है, तो इसे बदलने से कोई मतलब नहीं है । वर्ष की शुरुआत में, यहां तक ​​कि माइक्रोसॉफ्ट ने भी नियमित रूप से पासवर्ड बदलने से इनकार कर दिया । लेकिन सभी ने उनके नक्शेकदम पर नहीं चले। उदाहरण के लिए, एक अमेरिकी कंपनी जो क्रेडिट और बंधक संगठनों के लिए एप्लिकेशन विकसित करती है, उपयोगकर्ताओं को हर छह महीने में अपना पासवर्ड बदलने की आवश्यकता होती है ।

हैकर न्यूज के निवासियों में से एक का कहना है कि उनकी कंपनी को हर तीन महीने में पासवर्ड बदलने की जरूरत है। यह उसे बहुत गुस्सा दिलाता है। इस मामले में, सॉफ़्टवेयर, जो रोटेशन के लिए जिम्मेदार है, नए प्रमाणीकरण डेटा को सहेजते समय विशेष वर्णों के क्रम को भ्रमित करता है। परिवर्तित पासवर्ड के साथ लॉग इन करना असंभव हो जाता है। जब तक स्थिति को ठीक नहीं किया जाता है, तब तक वह कमजोर अल्फ़ान्यूमेरिक वाक्यांशों का उपयोग करने के लिए मजबूर होता है। पासवर्ड को नियमित रूप से बदलने की आवश्यकता भी इस तथ्य की ओर ले जाती है कि कंपनी के कर्मचारी पिछले पहचानकर्ताओं का पुन: उपयोग करने लगते हैं। एक अन्य उपयोगकर्ता, HN, ने कहा कि उन्होंने एक दूरसंचार प्रदाता के साथ काम किया, जहां एक कर्मचारी ने अपने खाते में लॉग इन करने के लिए केवल दो पासवर्ड का उपयोग किया: "Apr1999!" या "Mar1999!"। वे केवल औपचारिक रूप से पासवर्ड आवश्यकताओं को पूरा करते थे: अपरकेस और लोअरकेस अक्षर, संख्या और प्रतीक।

इनपुट प्रबंधन

यह निश्चित रूप से ज्ञात नहीं है कि पासवर्ड प्रविष्टि को अवरुद्ध करने का अभ्यास कैसे दिखाई दिया। यूएस नेशनल साइबर स्पेस सेंटर के इंजीनियरों ने ध्यान दिया कि किसी ने भी इस विषय पर कोई वैज्ञानिक लेख, अध्ययन, नियम या आरएफसी नहीं देखा है। वे यह भी कहते हैं कि यह बुरा व्यवहार है जो सुरक्षा को बाधित करता है। संसाधन आगंतुक पासवर्ड प्रबंधकों और जनरेटर का उपयोग करने की क्षमता खो देते हैं। नतीजतन, वे सरल पासवर्ड चुनते हैं ताकि समय बर्बाद न करें और संसाधनों तक तेजी से पहुंच प्राप्त करें। माइक्रोसॉफ्ट के क्षेत्रीय निदेशक ट्रॉय हंट और वायर्ड संपादक जोसेफ कॉक्स ने भी आवेषण को रोकने के खिलाफ बात की ।


फोटो - मैथ्यू ब्रोडुर - अनप्लैश

ध्यान दें कि क्रोम और फ़ायरफ़ॉक्स के लिए डोंट F * ck विथ पेस्ट प्लगइन समस्या के आसपास काम कर सकता है। साथ ही, सेटिंग में मैन्युअल रूप से समस्या को हल किया जा सकता है। उदाहरण के लिए, "फायर फॉक्स" के लिए ध्वज के बारे में: config: dom.event.clipboardevents.enabled को झूठा करने की आवश्यकता है। हालाँकि, यह Google डॉक्स में कॉपी / पेस्ट को बाधित कर सकता है । कॉपी / पेस्ट ब्लॉकिंग का मुकाबला करने के लिए, हैकर न्यूज़ के निवासियों में से एक ने अपनी स्क्रिप्ट - ऑटोहॉटकेय लिखी। यह क्लिपबोर्ड से डेटा पढ़ता है, और फिर 100-200 एमएस की देरी के साथ इनपुट क्षेत्र में एक के बाद एक उन्हें प्रिंट करता है।

जो पासवर्ड नीतियों को मानकीकृत करता है

ऐसे संगठन हैं जो पासवर्ड के साथ काम करने के लिए मानक विकसित करते हैं। उदाहरण के लिए, यूएस नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (NIST) NIST 800-63B फ्रेमवर्क को संकलित करता है। यह बताता है कि पासवर्ड कम से कम आठ वर्ण लंबा होना चाहिए । उसी समय, साइटों को कम से कम 64 अक्षरों की अधिकतम पासवर्ड लंबाई निर्धारित करने के लिए कहा जाता है।

चयनित पासवर्ड को सबसे लोकप्रिय वाक्यांशों की सूची में शामिल नहीं किया जाना चाहिए और इसमें दोहराया पत्र और संख्याएं ("आआआआआ" या "1234abcd") शामिल हैं। सर्वर और पीसी के लिए सूचना सुरक्षा उपकरण बनाने वाली कंपनी सोफोस के इंजीनियरों द्वारा इन नियमों के स्पष्टीकरण के साथ एक संक्षिप्त निचोड़ तैयार किया गया था। NIST मानक में पहले से ही कई साइटें हैं। उदाहरण के लिए, login.gov संसाधन, जो अमेरिकी सरकार के पोर्टल के लिए प्रमाणीकरण सेवाएं प्रदान करता है।

अन्य रूपरेखाएं हैं (उदाहरण के लिए, HITRUST ), लेकिन उनके पास अभी भी पुराने पासवर्ड हैं जैसे नियमित पासवर्ड रोटेशन। लेकिन वे, NIST की तरह, धीरे-धीरे सुधार किया जा रहा है।

---

1cloud ब्लॉग पर अतिरिक्त पढ़ने:

लिनक्स कर्नेल 5.3 में नया क्या है
"हम कैसे IaaS का निर्माण करते हैं": 1cloud सामग्री

सीमा पर इलेक्ट्रॉनिक उपकरणों की स्क्रीनिंग - मानव अधिकारों की आवश्यकता या उल्लंघन?
क्यों मुख्यधारा ब्राउज़र डेवलपर्स ने फिर से उपडोमेन प्रदर्शित करने से इनकार कर दिया

---