NIST 보안 규칙

규제 대상 작업에는 종종 인증 표준이 첨부됩니다. 미국 FDA Title 21 CFR Part 11과 많은 국방 및 항공우주 계약에 명시된 보안 통제는 사용자 계정이 비밀번호 선택 방법, 저장 방법 및 로그인 유효 기간에 대해 게시된 규칙을 따를 것을 요구합니다. PartsBox는 인증자 보증 수준 1(AAL1)에서 NIST 특수 간행물 800-63B의 규칙을 시행할 수 있습니다.

강제가 추가하는 것

관리자는 데이터베이스 설정에서 조직에 대해 이 기능을 켭니다. 활성화되면 해당 데이터베이스의 모든 구성원에게 적용됩니다:

• 일반적인 비밀번호 필터링. 누군가 비밀번호를 설정하거나 변경할 때 PartsBox는 가장 일반적인 비밀번호 목록과 대조하여 일치하는 것을 거부합니다. 해당 목록의 크기를 선택할 수 있습니다(기본적으로 상위 100개 항목, 최대 상위 100,000개).
• 세션 수명 제한. 로그인은 최대 30일 동안 유효합니다. 그 후에는 세션이 여전히 활성 상태인지 여부에 관계없이 사용자가 다시 로그인합니다. 이것은 AAL1이 설정하는 재인증 제한입니다.

모든 계정에 이미 제공되는 기능

NIST 800-63B에서 요구하는 사항 중 일부는 PartsBox가 이미 모든 플랜의 모든 계정에 대해 수행하고 있습니다:

• 비밀번호 길이. 비밀번호는 8자에서 512자 사이입니다. 현재 NIST 지침에 따라 강제 기호 규칙이나 주기적인 만료 없이 긴 암호문을 사용할 수 있습니다.
• 유니코드 정규화. 비밀번호는 해싱 전에 정규화되므로 암호문은 다른 키보드 및 장치에서 동일한 방식으로 인증됩니다.
• 솔트 처리된 해시 저장소. 비밀번호는 솔트 처리된 bcrypt 해시로만 저장되며 누구도 읽을 수 있는 형태로는 절대 저장되지 않습니다.
• 반복된 실패 후 잠금. 연속해서 너무 많은 잘못된 비밀번호를 입력하면 짧은 기간 동안 계정이 잠겨 비밀번호 추측을 중지합니다.

AAL1은 단일 요소입니다. 올바르게 선택하고 처리한 비밀번호 하나면 충분합니다. PartsBox는 두 번째 인증 요소를 추가하지 않습니다. 규제된 설정의 나머지 부분에 대해서는 이러한 규칙을 역할 기반 접근 제어, 감사 추적 및 로트 제어와 결합하세요. 이러한 요소들이 어떻게 결합되는지는 Title 21 CFR Part 11을 참조하세요.

NIST SP 800-63B AAL1 시행은 Compliance 플랜에 있습니다.