Gereguleerd werk gaat vaak gepaard met een authenticatiestandaard. US FDA Title 21 CFR Part 11, en de beveiligingscontroles die in veel defensie- en ruimtevaartcontracten zijn geschreven, verwachten dat gebruikersaccounts gepubliceerde regels volgen voor hoe een wachtwoord wordt gekozen, hoe het wordt opgeslagen en hoe lang een login geldig blijft. PartsBox kan de regels in NIST Special Publication 800-63B afdwingen op Authenticator Assurance Level 1 (AAL1).
Wat handhaving toevoegt
Een beheerder schakelt dit in voor de organisatie, in de database-instellingen. Zodra ingeschakeld, is het van toepassing op elk lid van die database:
- Screening op veelvoorkomende wachtwoorden. Wanneer iemand een wachtwoord instelt of wijzigt, controleert PartsBox dit aan de hand van een lijst met de meest voorkomende wachtwoorden en weigert een overeenkomst. U kiest hoe groot die lijst is — standaard de top 100, tot de top 100.000.
- Limiet voor sessieduur. Een login blijft maximaal 30 dagen geldig. Daarna logt de gebruiker opnieuw in, ongeacht of de sessie nog actief was. Dit is de herauthenticatie-limiet die AAL1 instelt.
Een deel van wat NIST 800-63B vraagt, doet PartsBox al voor elk account, in elk abonnement:
- Wachtwoordlengte. Een wachtwoord is tussen de 8 en 512 tekens. Lange wachtwoordzinnen zijn toegestaan, zonder geforceerde symboolregels en zonder periodieke vervaldatum, in overeenstemming met de huidige NIST-richtlijnen.
- Unicode-normalisatie. Wachtwoorden worden genormaliseerd vóór het hashen, zodat een wachtwoordzin op dezelfde manier authenticeert op verschillende toetsenborden en apparaten.
- Gesalte, gehashte opslag. Een wachtwoord wordt alleen opgeslagen als een gesalte bcrypt-hash, nooit in een vorm die iemand kan lezen.
- Uitsluiting na herhaalde mislukkingen. Te veel verkeerde wachtwoorden op een rij vergrendelen het account voor een korte periode, wat het raden van wachtwoorden stopt.
AAL1 is single-factor: een wachtwoord, correct gekozen en beheerd, is voldoende. PartsBox voegt geen tweede authenticatiefactor toe. Voor de rest van een gereguleerde opzet, combineer deze regels met rolgebaseerde toegangscontrole, het audittraject en partijbeheer — zie Title 21 CFR Part 11 voor hoe de stukjes in elkaar passen.
NIST SP 800-63B AAL1 handhaving zit in het Compliance-abonnement.