Il lavoro regolamentato spesso è accompagnato da uno standard di autenticazione. Il Titolo 21 CFR Parte 11 della FDA statunitense e i controlli di sicurezza scritti in molti contratti di difesa e aerospaziali, si aspettano che gli account utente seguano regole pubblicate su come viene scelta una password, come viene memorizzata e per quanto tempo un login rimane valido. PartsBox può applicare le regole della Pubblicazione Speciale NIST 800-63B al Livello di Garanzia dell'Autenticatore 1 (AAL1).
Un amministratore lo attiva per l'organizzazione, nelle impostazioni del database. Una volta abilitato, si applica a ogni membro di quel database:
- Screening delle password comuni. Quando qualcuno imposta o cambia una password, PartsBox la controlla rispetto a un elenco delle password più comuni e rifiuta una corrispondenza. Scegli tu quanto è grande quell'elenco — le prime 100 voci per impostazione predefinita, fino alle prime 100.000.
- Limite di durata della sessione. Un accesso rimane valido per un massimo di 30 giorni. Dopodiché l'utente accede di nuovo, indipendentemente dal fatto che la sessione fosse ancora attiva o meno. Questo è il limite di riautenticazione impostato da AAL1.
Alcune delle richieste del NIST 800-63B, PartsBox le fa già per ogni account, su ogni piano:
- Lunghezza della password. Una password è compresa tra 8 e 512 caratteri. Sono consentite passphrase lunghe, senza regole forzate sui simboli e senza scadenza periodica, in linea con le attuali linee guida NIST.
- Normalizzazione Unicode. Le password vengono normalizzate prima dell'hashing, in modo che una passphrase si autentichi allo stesso modo su tastiere e dispositivi diversi.
- Archiviazione con salt e hash. Una password viene archiviata solo come hash bcrypt con salt, mai in una forma che chiunque possa leggere.
- Blocco dopo ripetuti fallimenti. Troppe password errate di fila bloccano l'account per un breve periodo, il che impedisce di indovinare la password.
AAL1 è a fattore singolo: una password, scelta e gestita correttamente, è sufficiente. PartsBox non aggiunge un secondo fattore di autenticazione. Per il resto di una configurazione regolamentata, combina queste regole con il controllo degli accessi basato sui ruoli, il registro di controllo e il controllo dei lotti — vedi Title 21 CFR Part 11 per come i pezzi si incastrano.
L'applicazione di NIST SP 800-63B AAL1 è nel piano Compliance.