L’uso di una combinazione di tipi di caratteri nelle password e la loro modifica regolare non sono più considerate pratiche migliori di gestione delle password secondo le nuove linee guida pubblicate dal National Institute of Standards and Technology (NIST) degli Stati Uniti.
Nell’ultima versione delle sue Linee guida sulle password, l’organizzazione leader negli standard di sicurezza ha suggerito ai fornitori di servizi di credenziali (Credential Service Providers – CSP) di smettere di raccomandare password con diversi tipi di caratteri e di smettere di imporre modifiche periodiche delle password, a meno che l’autenticatore non sia stato compromesso.
Inoltre, il NIST ha richiesto ai CSP di non utilizzare l’autenticazione basata sulla conoscenza (Knowledge-Based Authentication – KBA) o domande di sicurezza nella scelta delle password.
Queste decisioni formalizzano principi che organizzazioni pubbliche e private come la Federal Trade Commission degli Stati Uniti e Microsoft avevano da tempo raccomandato.
Password buone tra 15 e 64 caratteri
Le nuove linee guida richiedono ancora che le password siano di almeno 8 caratteri.
Altre raccomandazioni importanti includono:
-
Le password dovrebbero essere di almeno 15 caratteri
-
I CSP dovrebbero permettere password di almeno 64 caratteri al massimo
-
I CSP dovrebbero consentire l’inclusione di caratteri ASCII e Unicode nelle password
Le nuove linee guida sono state pubblicate nel settembre 2024 come parte della seconda bozza pubblica di SP 800-63-4, l’ultima versione delle Linee guida sull’identità digitale del NIST.
La versione precedente delle Linee guida sulle password del NIST era stata pubblicata nel 2020.
Fonte (https://www.infosecurity-magazine.com/news/nist-scraps-passwords-mandatory/)
