NIST: Posebni znaki in obvezno menjanje gesel nepotrebni in prepovedani

Pravil in priporočil o izbiri varnih gesel smo slišali že nešteto, s številnimi pa živimo vsak dan, ko si izmišljujemo nova gesla za različne storitve ali nas te obveščajo, da so gesla prestara in potrebujejo zamenjavo. Trendi pa se spreminjajo, zato je Nacionalni inštitut za standarde in tehnologije (NIST) v ZDA izdal osnutek novih smernic o digitalni identiteti (SP 800-63-4), ki med gostobesedno latovščino tudi ukinja precej smernic, ki so številnim uporabnikom že zdaj zdele nepotrebne.

Nove smernice so še v fazi osnutka, ki bo v javni razpravi do 7. oktobra. Ko bodo nato sprejete, verjetno v dopolnjeni obliki, bodo obvezne za ameriške zvezne proračunske porabnike in podjetja, ki sodelujejo z zvezno vlado. Pri geslih so številna prejšnja priporočila postala obveznosti, nekaj pa je tudi novih. Med drugim morajo biti gesla dolga vsaj osem znakov, priporočeni minimum pa je 15 znakov. Priporočeni minimum za zgornjo mejo je 64 znakov, lahko pa jih seveda dovolijo še več. V nobenem primeru se gesla ne krajšajo (truncation). Prav tako je priporočeno, da se sprejemajo vsi znaki ASCII ali celo vsi znaki Unicode.

Prepovedano je zahtevati uporabi posebnih oblik, torej nujne prisotnosti malih in velikih črk, številk, posebnih znakov in drugih vzorcev. Zahtevati periodično menjanje gesel je prav tako prepovedano. V to kategorijo spadajo še varnostna vprašanja po hišnih ljubljenčkih in podobno, ki kar kličejo po zlorabah. Vse te tehnike, ki zgolj vzbujajo občutek varnosti, niso več dopustne.