„Co najmniej osiem znaków, przynajmniej jedna wielka litera, cyfra, znak specjalny i bez spacji”. To przykład klasycznych ograniczeń, które wiele portali stosuje przy tworzeniu haseł, a ich źródłem jest dokument „NIST Special Publication 800-63 Appendix A.”, napisany przez Billa Burra w 2003 roku. Czternaście lat później bezpieczeństwo informatyczne bardzo się zmieniło, a Burr przyznaje, że jego zasady tylko skomplikowały życie użytkownikom, dlatego postanowił publicznie przeprosić.
Skąd wzięły się te zasady?
Nasza rekomendacja korzystania z menedżerów haseł pozostaje aktualna. Ich wewnętrzne generatory potrafią tworzyć znacznie bardziej złożone kombinacje, niż możemy sobie wyobrazić, a najlepsze jest to, że nie musimy ich pamiętać. Jednak prawdziwym problemem dla osób odpowiedzialnych za bezpieczeństwo jest ta grupa użytkowników, która oprócz tego, że nie korzysta z menedżera, używa również bardzo słabych haseł. W 2003 roku amerykański NIST opublikował dokument znany jako „NIST Special Publication 800-63. Appendix A.”, który był poddawany różnym modyfikacjom, ale za jego oryginalną wersję odpowiadał administrator instytutu o nazwisku Bill Burr.
Dlaczego to nie zadziałało?
Tekst Burra definiuje wymagania dotyczące tworzenia bezpiecznego hasła, które zasadniczo narzucają użycie wielkich liter, symboli i cyfr, a także ich wymianę co 90 dni. Wymagania te zostały przejęte przez miliony usług i portali w sieci i, prawdę mówiąc, nie zniknęły. Jego intencje były dobre, ale czternaście lat później Burr doszedł do wniosku, że przekazał nieprawidłowe informacje. Użytkownicy mieli poważne trudności z zapamiętaniem i wpisywaniem haseł, co prowadziło do używania bardzo krótkich i niebezpiecznych ciągów znaków, a ich „odnawianie” co trzy miesiące było zwykłą zamianą jednej cyfry na inną.
Dlaczego do tego doszło?
Przede wszystkim Burr nie jest ekspertem od bezpieczeństwa informatycznego, a po drugie, jego źródła informacji powstały w latach 80., zanim powstał internet, jaki znamy. Teraz, na emeryturze i mając 72 lata, Burr postanowił publicznie przeprosić za wyrządzone niedogodności, ale nie możemy obwiniać go za wszystko. Rok 2003 był czasem, kiedy nie kładziono tak dużego nacisku na bezpieczeństwo. Dostępne badania były ograniczone pod względem liczby i jakości, a świat używał Windows XP SP1, prawdziwego przecieku, jeśli taki kiedykolwiek istniał.
