Peraturan Keselamatan NIST

Kerja terkawal selalunya disertakan dengan standard pengesahan. US FDA Title 21 CFR Part 11, dan kawalan keselamatan yang ditulis ke dalam banyak kontrak pertahanan dan aeroangkasa, mengharapkan akaun pengguna mengikuti peraturan yang diterbitkan untuk bagaimana kata laluan dipilih, bagaimana ia disimpan, dan berapa lama log masuk kekal sah. PartsBox boleh menguatkuasakan peraturan dalam NIST Special Publication 800-63B pada Authenticator Assurance Level 1 (AAL1).

Apa yang ditambah oleh penguatkuasaan

Seorang pentadbir menghidupkan ini untuk organisasi, dalam tetapan pangkalan data. Setelah didayakan, ia terpakai kepada setiap ahli pangkalan data tersebut:

• Pemeriksaan kata laluan biasa. Apabila seseorang menetapkan atau menukar kata laluan, PartsBox menyemaknya terhadap senarai kata laluan yang paling biasa dan menolak padanan. Anda memilih seberapa besar senarai itu — 100 entri teratas secara lalai, sehingga 100,000 teratas.
• Had seumur hidup sesi. Log masuk kekal sah selama paling lama 30 hari. Selepas itu pengguna log masuk semula, sama ada sesi itu masih aktif atau tidak. Ini ialah had pengesahan semula yang ditetapkan oleh AAL1.

Apa yang setiap akaun sudah dapat

Sebahagian daripada apa yang diminta oleh NIST 800-63B, PartsBox sudah lakukan untuk setiap akaun, pada setiap pelan:

• Panjang kata laluan. Kata laluan adalah antara 8 dan 512 aksara. Frasa laluan panjang dibenarkan, tanpa peraturan simbol paksa dan tiada tamat tempoh berkala, sepadan dengan panduan NIST semasa.
• Penormalan Unicode. Kata laluan dinormalkan sebelum pencincangan, jadi frasa laluan mengesahkan dengan cara yang sama merentas papan kekunci dan peranti yang berbeza.
• Penyimpanan masin, dicincang. Kata laluan disimpan hanya sebagai cincangan bcrypt masin, tidak pernah dalam bentuk yang boleh dibaca oleh sesiapa pun.
• Kunci keluar selepas kegagalan berulang. Terlalu banyak kata laluan yang salah berturut-turut mengunci akaun untuk tempoh yang singkat, yang menghentikan tekaan kata laluan.

AAL1 adalah faktor tunggal: kata laluan, dipilih dan dikendalikan dengan betul, sudah memadai. PartsBox tidak menambah faktor pengesahan kedua. Untuk baki persediaan yang dikawal selia, gabungkan peraturan ini dengan kawalan akses berasaskan peranan, jejak audit, dan kawalan lot — lihat Pematuhan Tajuk 21 CFR Bahagian 11 untuk mengetahui bagaimana bahagian-bahagian ini disatukan.

Penguatkuasaan NIST SP 800-63B AAL1 ada pada pelan Compliance.