Aturan Keamanan NIST

Pekerjaan yang diatur sering kali disertai dengan standar otentikasi. US FDA Title 21 CFR Part 11, dan kontrol keamanan yang ditulis ke dalam banyak kontrak pertahanan dan kedirgantaraan, mengharapkan akun pengguna untuk mengikuti aturan yang diterbitkan tentang bagaimana kata sandi dipilih, bagaimana ia disimpan, dan berapa lama login tetap valid. PartsBox dapat menegakkan aturan dalam NIST Special Publication 800-63B pada Authenticator Assurance Level 1 (AAL1).

Apa yang ditambahkan oleh penegakan

Seorang administrator mengaktifkan ini untuk organisasi, di pengaturan basis data. Setelah diaktifkan, ini berlaku untuk setiap anggota basis data tersebut:

• Penyaringan kata sandi umum. Saat seseorang mengatur atau mengubah kata sandi, PartsBox memeriksanya terhadap daftar kata sandi yang paling umum dan menolak kecocokan. Anda memilih seberapa besar daftar itu — 100 entri teratas secara default, hingga 100.000 teratas.
• Batas masa pakai sesi. Login tetap valid paling lama 30 hari. Setelah itu pengguna masuk lagi, terlepas dari apakah sesi masih aktif atau tidak. Ini adalah batas autentikasi ulang yang ditetapkan AAL1.

Apa yang sudah didapatkan setiap akun

Beberapa dari apa yang diminta NIST 800-63B, PartsBox sudah melakukannya untuk setiap akun, di setiap paket:

• Panjang kata sandi. Kata sandi antara 8 dan 512 karakter. Frasa sandi panjang diperbolehkan, tanpa aturan simbol paksa dan tanpa kedaluwarsa berkala, sesuai dengan panduan NIST saat ini.
• Normalisasi Unicode. Kata sandi dinormalisasi sebelum di-hash, sehingga frasa sandi mengautentikasi dengan cara yang sama di berbagai keyboard dan perangkat.
• Penyimpanan di-hash dan di-salt. Kata sandi disimpan hanya sebagai hash bcrypt yang di-salt, tidak pernah dalam bentuk yang dapat dibaca siapa pun.
• Penguncian setelah kegagalan berulang. Terlalu banyak kata sandi yang salah berturut-turut mengunci akun untuk waktu yang singkat, yang menghentikan penebakan kata sandi.

AAL1 adalah faktor tunggal: kata sandi, yang dipilih dan ditangani dengan benar, sudah cukup. PartsBox tidak menambahkan faktor autentikasi kedua. Untuk sisa pengaturan yang diatur, gabungkan aturan ini dengan kontrol akses berbasis peran, jejak audit, dan kontrol lot — lihat Kepatuhan Title 21 CFR Part 11 untuk mengetahui bagaimana bagian-bagian tersebut saling melengkapi.

Penegakan NIST SP 800-63B AAL1 ada pada paket Compliance.