NIST-sikkerhetsregler

Regulert arbeid kommer ofte med en tilknyttet autentiseringsstandard. US FDA Title 21 CFR Part 11, og sikkerhetskontrollene skrevet inn i mange forsvars- og romfartskontrakter, forventer at brukerkontoer følger publiserte regler for hvordan et passord velges, hvordan det lagres, og hvor lenge en pålogging forblir gyldig. PartsBox kan håndheve reglene i NIST Special Publication 800-63B på Authenticator Assurance Level 1 (AAL1).

Hva håndhevelse tilfører

En administrator slår dette på for organisasjonen, i databaseinnstillingene. Når det er aktivert, gjelder det for hvert medlem av den databasen:

• Screening av vanlige passord. Når noen angir eller endrer et passord, sjekker PartsBox det mot en liste over de vanligste passordene og avviser et treff. Du velger hvor stor den listen er — de 100 øverste oppføringene som standard, opptil de 100 000 øverste.
• Grense for øktens levetid. En pålogging forblir gyldig i maksimalt 30 dager. Etter det logger brukeren på igjen, uansett om økten fortsatt var aktiv eller ikke. Dette er reautentiseringsgrensen AAL1 setter.

Hva hver konto allerede får

Noe av det NIST 800-63B ber om, gjør PartsBox allerede for hver konto, på alle abonnementer:

• Passordlengde. Et passord er mellom 8 og 512 tegn. Lange passordfraser er tillatt, uten tvungne symbolregler og ingen periodisk utløp, i samsvar med gjeldende NIST-veiledning.
• Unicode-normalisering. Passord normaliseres før hashing, så en passordfrase autentiserer på samme måte på tvers av forskjellige tastaturer og enheter.
• Saltet, hashet lagring. Et passord lagres kun som en saltet bcrypt-hash, aldri i en form noen kan lese.
• Utestengelse etter gjentatte feil. For mange feil passord på rad låser kontoen for en kort periode, noe som stopper passordgjetting.

AAL1 er enkeltfaktor: et passord, valgt og håndtert riktig, er nok. PartsBox legger ikke til en andre autentiseringsfaktor. For resten av et regulert oppsett, kombiner disse reglene med rollebasert tilgangskontroll, revisjonssporet og partikontroll — se Title 21 CFR Part 11 for hvordan brikkene passer sammen.

Håndhevelse av NIST SP 800-63B AAL1 er på Compliance-abonnementet.