V2.1.2 Password Security

Requirement:

Verify that passwords of at least 64 characters are permitted, and that passwords of more than 128 characters are denied. (C6)

Explanation:

Требование содержит два пункта:

    "Verify that passwords of at least 64 characters are permitted": Это означает, что приложение должно позволять пользователям задавать пароли длиной не менее 64 символов. Разрешение длинных паролей повышает сложность паролей, что делает их более защищенными от атак перебора и угадывания паролей. Более длинные пароли сложнее взломать различными способами, например, с помощью словарных атак или радужных таблиц.

    "Passwords of more than 128 characters are denied": Это означает, что приложение не должно позволять пользователям устанавливать пароли длиной более 128 символов. Разрешение длинных паролей полезно, но слишком длинные пароли могут привести к проблемам в работе, снижению производительности или неожиданному поведению системы аутентификации или базы данных приложения. Поэтому, чтобы избежать возможных проблем и обеспечить совместимость с базовыми системами, необходимо установить верхний предел длины пароля.

Remediation:

Для соответствия требованию необходимо убедиться, что приложение соответствует следующим критериям:

1 Password Length Check:

• Внедрить политику паролей, обеспечивающую минимальную длину пароля не менее 64 символов. Этого можно добиться с помощью проверки подлинности в процессе регистрации или смены пароля.
•  Убедитесь, что приложение выводит понятные и удобные для пользователя сообщения об ошибках, когда пользователи пытаются задать пароль, длина которого меньше требуемого минимума.

2 Password Length Limitation:

• Установите максимальную длину пароля в 128 символов. Реализуйте проверку подлинности, чтобы предотвратить установку пользователями паролей, длина которых превышает указанное ограничение.
• Показывать сообщения об ошибках, если пользователи пытаются задать пароль, длина которого превышает максимально допустимую.

3 Testing for Compliance:

• Разработайте тестовые кейсы для проверки выполнения этих требований.
• Для проверки правильности выполнения требований к длине пароля используйте как автоматизированные средства тестирования, так и ручные методы тестирования.
• Проводите как положительные, так и отрицательные сценарии тестирования, чтобы убедиться, что приложение ведет себя так, как ожидается, когда пользователи пробуют различные длины паролей.

4 Password Complexity Guidance:

• Несмотря на то, что это требование не указано в явном виде, лучшей практикой является предоставление пользователям рекомендаций по сложности паролей и поощрение использования надежных и уникальных паролей.

5 Security Training and Awareness:

• Доведите до сведения пользователей важность использования длинных и надежных паролей для защиты своих учетных записей.

6 Logging and Monitoring:

• Внедрите механизмы протоколирования и мониторинга для отслеживания неудачных попыток входа в систему и событий смены пароля. Это поможет обнаружить потенциальные brute-force атаки или вредоносные действия, связанные с изменением пароля.

7 Password Storage:

• Убедитесь, что приложение надежно хранит пароли, используя стойкие криптографические алгоритмы хеширования и salting методы.

Предполагается, что у вас есть базовый пользовательский класс и пользовательская база данных, вот пример того, как вы можете реализовать проверку длины пароля:

Пример базовой реализации проверки длины пароля

class User:

def __init__(self, username, password):

self.username = username

self.password = password

class UserDatabase:

def __init__(self):

self.users = []

def add_user(self, user):

self.users.append(user)

def check_username_exists(self, username):

return any(user.username == username for user in self.users)

def check_password_length(self, password):

return 64 <= len(password) <= 128

def register_user(username, password):

# Initialize the user database

user_db = UserDatabase()

# Check if the username already exists

if user_db.check_username_exists(username):

print("Username already exists. Please choose a different username.")

return

# Validate the password length

if not user_db.check_password_length(password):

print("Password must be between 64 and 128 characters.")

return

# Create the new user and add it to the database

new_user = User(username, password)

user_db.add_user(new_user)

print("User registered successfully!")

# Example usage:

if __name__ == "__main__":

username = input("Enter your username: ")

password = input("Enter your password: ")

register_user(username, password)

В данном примере класс User представляет пользователя с именем пользователя и паролем. Класс UserDatabase представляет собой простую базу данных для управления пользователями. Функция register_user принимает вводимые пользователем имя пользователя и пароль, проверяет длину пароля и регистрирует пользователя, если все условия выполнены. Если имя пользователя уже существует или требования к длине пароля не выполняются, то выводятся соответствующие сообщения об ошибках.

Обратите внимание, что это базовый пример, и в реальных приложениях необходимо усилить безопасность, используя соответствующие методы хеширования паролей и надежно храня конфиденциальные данные. Кроме того, возможно, потребуется рассмотреть другие меры безопасности, связанные с паролями, например, применение требований к сложности паролей и механизмов защиты от brute-force атак.

Additional:

https://pages.nist.gov/800-63-3/sp800-63b.html#memsecret