Suggerire una passphrase casuale durante l'iscrizione ha danneggiato la sicurezza generale?

14

Ho cercato modi per migliorare la sicurezza e la consapevolezza della sicurezza sia per i clienti interni che per quelli esterni e mi è capitato di generare un "suggerimento di password" casuale e casuale sulle schermate di registrazione e di modifica della password, simili al seguente:

Supponendo che:

  • La password viene generata indicizzando tutte le parole di 5-8 lettere in un dizionario Scrabble (circa 70.000 parole totali netti) e utilizzando un servizio di crittografia RNG per scegliere gli indici casuali;
  • La pagina viene visualizzata su una connessione SSL;
  • La password è un nonce, cioè il server in realtà non lo salva da nessuna parte;
  • Gli utenti non sono effettivamente assegnati a questa password - possono ancora crearne di propri, ad esempio se sono seduti a un terminale pubblico.

Questa è una buona idea o una cattiva? Personalmente mi piace l'idea, ma sono preoccupato che il mio entusiasmo e ottimismo come sviluppatore possa mettere in ombra alcuni effetti collaterali negativi non intenzionali di uno schema come questo.

Dovrei andare avanti con questo? Ci sono modi in cui potrebbe essere migliorato e / o altre cose che devo cercare?

    
posta Aaronaught 25.09.2011 - 17:56
fonte

2 risposte

12

Per sicurezza, questo è molto buono. Stai raccomandando circa 64 bit di entropia nella password, che è molto più del 99,999% di utenti arriverà da solo. E non memorizzare la password in chiaro è ovviamente un bene per la sicurezza.

Per l'usabilità, questo è principalmente ok, ma c'è un grosso buco: molti utenti useranno quella password, trascureranno di scriverla ovunque e di dimenticarla immediatamente. Copia, incolla, dimentica. Dovrai quindi utilizzare spesso la procedura di reimpostazione della password, il che significa che dovrà essere leggero, il che probabilmente significa che sarà piuttosto insicuro.

    
risposta data 25.09.2011 - 19:51
fonte
3

L'uso di una frase al posto di una singola parola è una buona idea.

Tuttavia, trovo che sia una cattiva pratica di sicurezza che, come utente, usi una password che qualcuno propone di usare. Non mi sentirei a mio agio con un sistema che lo faccia. Inoltre, se stavo progettando un sistema, non vorrei che educasse i suoi utenti a usare le password proposte da altri. Un po 'di paranoia, forse, ma "l'igiene della sicurezza" è già abbastanza grave ...

Preferisco che il sistema proponga un esempio e proibisca all'utente di usare l'esempio.

    
risposta data 26.09.2011 - 19:46
fonte

Leggi altre domande sui tag