دلایل عدم توصیه به استفاده از قوانین پیچیده برای ساخت رمز عبور چیست؟

در سال‌های اخیر، شیوه‌های مرتبط با امنیت رمزهای عبور دستخوش تغییرات اساسی شده‌اند. پیشتر، این باور وجود داشت که رمزی با ترکیب حروف بزرگ و کوچک، اعداد و نمادهای خاص، به مراتب ایمن‌تر خواهد بود؛ اما مؤسسه ملی استاندارد و فناوری ایالات متحده (NIST) در بروزرسانی‌های اخیر خود دیگر این دستورات را توصیه نمی‌کند. دلیل این تغییر آن است که اجبار کاربران به رعایت قوانین پیچیده، معادل امنیت بیشتر نیست و گاهی منجر به انتخاب الگوهای قابل گمانه‌زنی می‌شود.

هنگامی که یک وب‌سایت از کاربران خواسته می‌شود که حتماً از حروف بزرگ، ارقام و نمادهای خاص بهره ببرند، بسیاری از افراد به جای ساخت رمزهای واقعاً تصادفی، به سراغ الگوهای ساده می‌روند؛ مانند بزرگ‌نویسی حرف اول، افزودن چند عدد در انتها یا جایگزینی یکی از حروف با نماد مشابه. این نوع تغییرات برای هکرها به سادگی قابل پیش‌بینی است و لزوماً به تقویت امنیت رمز نمی‌انجامد.

از سوی دیگر، فشار به کاربران برای تغییر رمزهای خود در فواصل زمانی کوتاه می‌تواند نتیجه‌ای معکوس به دنبال داشته باشد. معمولاً کاربران برای به یاد سپردن رمزهای جدید، تغییرات جزئی در رمز قبلی ایجاد می‌کنند یا به گزینه‌هایی رو می‌آورند که راحت‌تر به یاد می‌مانند. به همین دلیل، NIST دیگر تغییر دوره‌ای رمزهای عبور را تا زمانی که نشانه‌ای از افشا یا به خطر افتادن حساب وجود نداشته باشد، ضرورت نمی‌داند.

در پروتکل جدید NIST، طول رمز عبور به مراتب مهم‌تر از الزام به استفاده از ترکیب انواع کاراکترها است. این مؤسسه حداقل طول برای رمزهای عبور منفرد را ۱۵ کاراکتر پیشنهاد می‌دهد و تأکید دارد که خدمات باید امکان انتخاب رمزهایی با حداقل ۶۴ کاراکتر را فراهم سازند. البته برای رمزهای جنبی به همراه عوامل احراز هویت دیگر، حداقل طول می‌تواند به ۸ کاراکتر کاهش یابد.

تأکید بر استفاده از نرم‌افزارهای مدیریت رمزعبور نیز در این استاندارد بارز است؛ چراکه این ابزارها قادرند رمزهای طولانی و تصادفی تولید کنند و بدون نیاز به حفظ آنها، اطلاعات ورودی را در اختیار کاربران قرار دهند.

در پایان، امنیت حساب کاربری تنها به انتخاب یک رمز ایمن وابسته نیست. NIST بر محدود کردن تعداد تلاش‌های ناموفق ورود و ذخیره‌سازی ایمن رمزها با به‌کارگیری روش‌های هش و نمک‌گذاری (Salt) تأکید دارد. همچنین، فعال‌سازی احراز هویت چند مرحله‌ای می‌تواند به عنوان یک لایه حفاظتی اضافی عمل کند؛ زیرا حتی رمزهای طولانی و پیچیده نیز در برابر حملات فیشینگ و سرقت اطلاعات مصون نخواهند ماند.