چرا قوانین پیچیده رمز عبور دیگر توصیه نمی‌شوند؟

توصیه‌های امنیتی درباره‌ی رمز عبور در سال‌های اخیر تغییر کرده‌اند. زمانی تصور می‌شد هرچه رمز عبور پیچیده‌تر باشد و ترکیبی از حروف بزرگ و کوچک، عدد و نمادهای خاص داشته باشد، امنیت بیشتری ایجاد می‌کند؛ اما مؤسسه‌ی ملی استاندارد و فناوری آمریکا (NIST) در دستورالعمل‌های جدید خود دیگر چنین الزام‌هایی را توصیه نمی‌کند. دلیلش این است که اجبار کاربران به رعایت قواعد پیچیده، لزوماً رمزهای امن‌تری نمی‌سازد و گاهی آن‌ها را به انتخاب الگوهای قابل‌پیش‌بینی سوق می‌دهد.

وقتی یک وب‌سایت از کاربر می‌خواهد حتماً از حروف بزرگ، عدد و نمادهای خاص استفاده کند، بسیاری از افراد به‌جای ساختن رمزهای واقعاً تصادفی، الگوهای ساده‌ای به کار می‌برند؛ مثلاً حرف اول را بزرگ می‌نویسند، چند عدد به انتهای کلمه اضافه می‌کنند یا یکی از حروف را با نمادی مشابه جایگزین می‌کنند. چنین تغییراتی برای مهاجمان قابل‌پیش‌بینی است و لزوماً امنیت رمز را افزایش نمی‌دهد.

از طرف دیگر، الزام به تغییر رمز در بازه‌های زمانی کوتاه نیز می‌تواند نتیجه‌ی معکوس داشته باشد. کاربران معمولاً برای به‌خاطرسپردن رمزهای جدید، تغییرات کوچکی در رمز قبلی ایجاد می‌کنند یا سراغ گزینه‌هایی می‌روند که راحت‌تر به یاد می‌مانند. به همین دلیل، NIST دیگر تغییر دوره‌ای رمز عبور را ضروری نمی‌داند؛ مگر اینکه شواهدی از افشای آن یا به‌خطر‌افتادن حساب وجود داشته باشد.

در استاندارد جدید NIST، طول رمز عبور اهمیت بیشتری از ترکیب اجباری انواع کاراکترها دارد. این مؤسسه حداقل طول رمزهای عبور تک‌عاملی را ۱۵ کاراکتر تعیین کرده و توصیه می‌کند سرویس‌ها امکان انتخاب رمزهایی با طول دست‌کم ۶۴ کاراکتر را نیز فراهم کنند. البته برای رمزهایی که در کنار عامل احراز هویت دیگری استفاده می‌شوند، حداقل طول می‌تواند ۸ کاراکتر باشد.

استفاده از نرم‌افزارهای مدیریت رمز عبور نیز در این استاندارد مورد تأکید قرار گرفته است؛ چون چنین ابزارهایی می‌توانند رمزهای طولانی و تصادفی بسازند و بدون نیاز به حفظ‌کردن آن‌ها، اطلاعات ورود را در اختیار کاربر بگذارند.

در نهایت، امنیت حساب فقط به انتخاب رمز عبور وابسته نیست. NIST بر محدودکردن تعداد تلاش‌های ناموفق برای ورود و ذخیره‌سازی امن رمزها با روش‌های هش و نمک‌گذاری (Salt) نیز تأکید دارد. فعال‌کردن احراز هویت چندمرحله‌ای هم می‌تواند یک لایه‌ی حفاظتی مهم به حساب اضافه کند؛ چراکه حتی رمزهای طولانی و پیچیده نیز در برابر فیشینگ و سرقت اطلاعات مصون نیستند.