Perché, davvero?

Consentitemi di ignorare per un momento la domanda e di rispondere alla vostra domanda implicita: dovremmo?
Ovvero, dovremmo continuare a chiedere agli utenti di creare la propria password, che spesso è debole, invece di basta che il sistema generi una password complessa per loro?

Bene, sono dell'opinione controversa che qui ci sia un compromesso piuttosto forte: avere una password sicura e SAPERE quanto sia sicura (come fai notare), da un lato, e dall'altro lato c'è la sensazione di sicurezza dell'utente. "Usabilità", in una certa misura.

Penso che ci siano diversi aspetti in questa sensazione di sicurezza: alcuni utenti vorrebbero assicurarsi di avere una password complessa (ad esempio tramite un gestore di password o diceware); alcuni utenti vorrebbero selezionare una password facile; e alcuni utenti desiderano utilizzare la stessa password ovunque. E sì, molti utenti semplicemente si aspettano di essere in grado di impostare la propria password, per qualsiasi motivo, quindi oltre a qualsiasi causa specifica, dovrai comunque combattere la battaglia di rieducazione, che è tutt'altro che facile .

Inoltre, non dimenticare che una volta ottenuta una buona password complessa per l'utente, l'utente (spesso non tecnico) deve ancora capire cosa farne - anche le passphrase diventano difficili da ricordare dopo la prima dozzina o giù di lì, o se lo usi solo ogni 6 mesi ... L'utente non tecnico lo salverebbe molto probabilmente in un documento Word sul desktop o nella posta elettronica. (E ovviamente scrivi la password del sistema operativo su una nota adesiva allegata allo schermo).

Ora, non sminuire queste ragioni o queste cause per l'utilizzo di password deboli: noi del settore della sicurezza abbiamo creato questo scenario per le persone semplici nel corso degli anni. Ma in realtà si tratta di: quanto deve essere sicuro il tuo sito. Qual è il rischio che l'utente può decidere di assumersi e quanto di questo è il rischio del sistema che dovrebbe essere tolto dalle mani dell'utente.

Quindi, in conclusione: Sì, penso che la maggior parte dei siti con requisiti di sicurezza non trascurabili dovrebbe offrire la generazione di password / passphrase. A seconda del profilo e dell'architettura, potresti offrire 3 opzioni quando registri un account (o cambi password, ecc ...) - assicurati solo di visualizzare la password solo dopo aver avvertito l'utente di non navigare a spalla:

• Genera passphrase - con un numero di parole configurato o flessibile (predefinito)
• Genera password pazzesche con un'entropia ridicola, ad es. per il salvataggio nel gestore delle password
• Creane uno tuo.

In effetti questo è quello che raccomando da tempo (varianti dipendenti dai requisiti specifici ...).

Tornando alla tua domanda originale, perché quanto sopra non è stato fatto?
Immagino una combinazione di sistemi legacy e cattive abitudini; cattiva educazione (la stragrande maggioranza dei siti ha ancora politiche e raccomandazioni sulle password BAD) e forse solo una mancanza di consapevolezza di una soluzione migliore.

Sì, questo è perché le password fanno schifo. :-)

Ottenere la password per l'utente

Le uniche volte in cui ho visto sistemi che impostano la password per l'utente, viene inviata all'utente tramite posta elettronica (ovviamente in chiaro ), che è ovviamente una cattiva idea [*] (e SMS, Mail, ecc. non sono molto migliori).

Quindi rimarrebbe la visualizzazione della password durante la creazione dell'account (che potrebbe anche essere un cattivo idea a causa del surf con le spalle). Presumo che questo porterebbe a molti utenti che lo trascurerebbero o non si renderanno conto che è importante. Gli utenti sono abituati a ricordare / annotare / memorizzare le password quando le creano da soli, ma non sono abituati a leggere qualche pagina dopo aver creato un account; molti probabilmente lo ignorerebbero.

_{[*] perché chiunque abbia accesso all'account di posta dell'utente (forza bruta, utente dimenticato di disconnettersi, ecc.) non avrà accesso. Se un utente malintenzionato utilizza la reimpostazione della password per ottenere l'accesso, un utente lo noterebbe almeno.}

Fare in modo che l'utente ricordi la password

Gli utenti devono conoscere le proprie password. In genere, hanno un paio di opzioni per questo (memoria, annotazione o memorizzazione in un file o in un gestore di password). Uno dei principali (memoria) non sarebbe pratico con il tuo approccio [*], che presumo sia il motivo principale per cui i siti web non generano password per gli utenti.

_{[*] anche con password generate facili da ricordare, gli utenti avranno ancora più difficoltà a ricordarle rispetto alle password che hanno scelto loro stessi.}

Esperienza utente

La sicurezza non è l'attività principale della maggior parte dei servizi web. Spesso è più importante che gli utenti siano felici e molti utenti non saranno così felici se non possono scegliere le proprie password (perché non vogliono ricordare le password generate e non vogliono scriverle, e lo fanno anche non voglio usare un gestore di password). Gli utenti desiderano semplicemente utilizzare un servizio e tutto ciò che lo rende più complicato può potenzialmente portare una percentuale di persone a utilizzare un servizio concorrente.

Conclusione

Le password sono sempre un compromesso tra usabilità e sicurezza e non lasciare che gli utenti scelgano le password riduce troppo l'usabilità di un servizio per la maggior parte di loro (ea causa dei problemi di ottenere effettivamente la password generata per l'utente, potrebbe anche non aggiungere tanta sicurezza).

Le organizzazioni vogliono che gli utenti siano responsabili.

Se l'utente ha scelto la password, può essere incolpato di averne scelta una non valida.

Sfortunatamente, nel mondo reale, le organizzazioni potrebbero dover essere più preoccupate di sembrare che si assumano parte della responsabilità delle intrusioni che di assicurarsi che non possano accadere.

Gli utenti vogliono scegliere qualcosa che possono ricordare

Molti utenti non scriveranno le loro password (lasciando da parte se questa è una buona idea o meno). Preferiscono scegliere qualcosa che pensano di poter ricordare. (Questo è particolarmente importante per le migliaia di siti che non dovrebbero aver bisogno di una password ma costringono gli utenti a sceglierne una).

Un intervistato ha toccato la risposta giusta, ma non l'ha approfondita abbastanza, quindi lo farò.

Stai ponendo la domanda da una prospettiva incentrata sul computer o sull'IT. Ma perché esiste? Per servire il cliente. Ripeto: il cliente non è lì per servirti, tu sei lì per fare ciò di cui ha bisogno che tu faccia.

Quindi con questo in mente , rivisitiamo la domanda: perché permettiamo ancora ai clienti di scegliere le proprie password? Perché non impostiamo le password per i clienti?

Perché se imponiamo le password ai clienti, cosa pensi che facciano? Abbiamo imposto loro qualcosa di immemorabile che devono sapere in seguito. garantisco che prenderanno un post-it e scriveranno la password.

Hai fallito. Le password scritte su carta sono un errore di sicurezza. Non vuoi mai che ciò accada . E prima di incolpare il cliente in questo caso, sei tu quello che lo ha costretto a utilizzare una password che non ha avuto la possibilità di creare. Non hanno avuto alcuna possibilità di renderlo memorabile. Hai detto loro "Memorizza 'F82 $ fVq9' e non annotarlo". Come cliente la mia prima reazione sarebbe "Vaffanculo". Le aziende non possono dire ai clienti cosa fare. I clienti troveranno modi per ribellarsi, incluso scrivere le tue password casuali. Non combattere la natura umana. Tu. Volere. Perdi.

Questo è il motivo per cui permettiamo ai clienti di scegliere le password. Se il tuo sito vale qualsiasi sale, fa come la maggior parte dei siti oggi, controlla la forza della password scelta. Garantisce che la password sia lunga 8 caratteri, abbia due cifre, un carattere maiuscolo e un simbolo.

E hai comunque fallito il tuo obiettivo originale perché i computer di oggi possono forzare le password di 8 caratteri in pochi secondi . Dico solo ".

Vuoi una vera sicurezza con password che il cliente sceglie e di cui sei anche soddisfatto della forza? Ecco qui: https://xkcd.com/936/

Pensaci in questo modo, se scegli la password dell'utente per loro, la dimenticheranno e dovranno utilizzare sistemi di reimpostazione della password.

La "password dimenticata" di solito è meno sicura del password, rendendo così la password più sicura, ma causando più reimpostazioni della password rende l'intero sistema meno sicuro poiché sarebbe più difficile rilevare tentativi fraudolenti di "password dimenticata".

Modifica: presumo che tu non lo faccia " t lavorare per una banca o per un silo di armi nucleari. Se lo fai, ignora il mio consiglio.

Non scelgo le mie password. Uso un gestore di password che genera password casuali per me.

Tuttavia, la maggior parte dei siti web si basa sull'idea che gli utenti memorizzeranno le proprie password. È molto più facile per un utente memorizzare una password che ha scelto da solo, piuttosto che una a lui assegnata. Anche in pratica, gli utenti in genere utilizzano la stessa password su molti siti e, sebbene la stampa in piccolo indichi loro di non farlo, il processo di registrazione non può fermarli.

Sento fortemente che "memorizza il tuo il modello "password" è difettoso e un gestore di password è una scelta migliore per quasi tutti. Ma questa non è la realtà; Non ho cifre, ma anche tra i miei amici esperti di tecnologia, utilizzare un gestore di password per tutto è raro.

In molte situazioni, ci si aspetta che l'utente sia il proprio watchdog della sicurezza perché l'utente del sistema non è la minaccia per il sistema. Le minacce al sistema sono gli amministratori e gli operatori di livello dipendente che in virtù della posizione hanno un'elevata esposizione e autorizzazioni / diritti all'interno del sistema.

Senza un sistema già gravemente difettoso, James Random Person non sarà in grado per generare e aggiungere al suo account $ 4 milioni da bit e byte, tutto da solo. Lui, o qualcuno che agisce come lui, può davvero danneggiare solo il proprio account. La vera minaccia proviene da coloro che hanno privilegi / diritti elevati, che si trovano all'interno. Se James Random Person ha una password di "xxxx22" e il suo account viene compromesso, questo dipende da lui, non da te.

Sì, password / passphrase sicure sono un'ottima idea. Ma non appena inizi a costringere gli utenti a usarli, gli utenti si arrabbieranno e se ne andranno.

Nonostante questa domanda abbia già un miliardo di risposte, proposte molto recenti per i browser meritano di menzionare un'altra possibilità. Sì, l'attuale soluzione per la password fa schifo. Tuttavia, la risposta non è migliorare le password. La risposta è abbandonare le password. È uscita una nuova proposta da W3C e Fido per spingere il supporto nativo del browser per l'autenticazione dell'utente esterno: chiavi hardware, biometria, ecc ... Ecco solo un paio di articoli:

https: // techcrunch .com / 2018/04/10 / fido-alliance-e-w3c-have-a-plan-to-kill-the-password / amp / https://fidoalliance.org/fido- alleanza-e-w3c-raggiungono-importanti-standard-pietra miliare-nello-sforzo-globale-verso-un'autenticazione-sul-web-più semplice-più forte /

Ovviamente questo è un lungo lontano dall'essere di uso comune. Vale anche la pena ricordare che ci vorrà molto tempo (se mai) prima che opzioni di accesso come queste sostituiscano completamente le password. Le password saranno disponibili per molto, molto tempo. Tuttavia, se stessi costruendo un sistema che necessitava di una sicurezza utente di prim'ordine, non mi preoccuperei di fornire un'opzione di generazione di password alternativa. Vorrei semplicemente supportare le attuali best practice per le password e fornire supporto per schemi di autenticazione alternativi come quelli sopra non appena la tecnologia sarà possibile.

Altre persone l'hanno già menzionato, ma ritengo che un utente debba avere il controllo della sicurezza del proprio account.

Detto questo, sono d'accordo che molte password non sono molto sicure e dovrebbero certamente essere controllate da un lato client (quindi non stiamo inviando password grezze attraverso la rete) per verificare la complessità e se la password non ha punteggio abbastanza alto, chiediamo all'utente di creare una password più complessa.

Anche se la password ha una modifica richiesta l'utente sta ancora elaborando la modifica e come se ho sempre sentito a scuola "se lo scrivi non lo dimenticherai" e penso che lo stesso valga in questa circostanza con la creazione di password.

Fuori tema, ma consiglio vivamente 1Password per gli utenti che hanno problemi a ricordare le password.

Quando si seleziona la password per l'utente, si conosce l'entropia, invece di porre alcune restrizioni che potrebbero impedire loro di utilizzare uno schema a bassa entropia

Per avere il meglio di entrambi i mondi, potresti anche calcolare l'entropia (o qualunque meccanismo tu ritenga appropriato) mentre digita la password scelta. Questo è il meccanismo utilizzato in molte pagine di registrazione:

Ci sono molti vantaggi di questo metodo (l'utente sceglie la sua password, è consapevole che questa è "buona" o "cattiva", ...).

Assicurati solo che la tua filosofia di ciò che costituisce una password buona e cattiva abbia senso e che la tua l'implementazione è amichevole per i gestori di password (semplicemente ODIO questi siti che rompono Lastpass in nome di dio-sa-cosa)

Ok le password fanno schifo. In realtà ho trovato più prove di errori precoci di password rispetto a sistemi di password ben progettati quando ho esaminato le password come metodo di controllo dell'accesso prima dei computer. Ci sono purtroppo tre metodi che ho visto per "affrontare" il problema.

1. analisi del rischio di costo: decidi che il rischio è piccolo e il costo è grande, quindi non fare nulla (ci sono molte risposte che argomentano da questo punto di vista su questa domanda).

2. password migliori: al centro la tua domanda sta cercando un modo per farlo. Purtroppo questo è difficile e costoso (costo opportunità al minimo). Ad esempio, nel mio tempo libero, per un periodo di mesi, ho fatto uno sforzo per configurare un generatore di password integrato nella scadenza della password di accesso del mio computer utilizzando pam. Non ho fatto progressi significativi e i componenti di base sono stati rimossi dalla mia distribuzione scelta per i bug.

3. qualcosa di diverso dalle password: ho fatto uno sforzo per configurare l'accesso basato su smartcard su il mio computer prima di consigliarlo al mio capo. Non ho trovato nessuno che me ne venda uno per testare. Spero che questo sia cambiato nell'ultimo anno, ma l'ultima volta che ho verificato che erano meno disponibili rispetto a prima negli Stati Uniti.

Lo trovo deprimente.