กฎความปลอดภัย NIST

งานที่มีการควบคุมมักจะมาพร้อมกับมาตรฐานการรับรองความถูกต้องที่แนบมาด้วย US FDA Title 21 CFR Part 11 และการควบคุมความปลอดภัยที่เขียนไว้ในสัญญาด้านการป้องกันประเทศและอวกาศหลายฉบับ คาดหวังให้บัญชีผู้ใช้ปฏิบัติตามกฎที่เผยแพร่สำหรับวิธีการเลือกรหัสผ่าน วิธีการจัดเก็บ และระยะเวลาที่การเข้าสู่ระบบยังคงใช้ได้ PartsBox สามารถบังคับใช้กฎใน NIST Special Publication 800-63B ที่ Authenticator Assurance Level 1 (AAL1)

สิ่งที่การบังคับใช้เพิ่มเข้ามา

ผู้ดูแลระบบเปิดใช้งานสิ่งนี้สำหรับองค์กร ในการตั้งค่าฐานข้อมูล เมื่อเปิดใช้งานแล้ว จะมีผลกับสมาชิกทุกคนในฐานข้อมูลนั้น:

• การคัดกรองรหัสผ่านทั่วไป เมื่อมีคนตั้งค่าหรือเปลี่ยนรหัสผ่าน PartsBox จะตรวจสอบกับรายการรหัสผ่านที่พบบ่อยที่สุดและปฏิเสธหากตรงกัน คุณเลือกได้ว่ารายการนั้นจะใหญ่แค่ไหน — 100 รายการแรกโดยค่าเริ่มต้น สูงสุด 100,000 รายการแรก
• ขีดจำกัดอายุการใช้งานเซสชัน การเข้าสู่ระบบจะใช้ได้สูงสุด 30 วัน หลังจากนั้นผู้ใช้จะลงชื่อเข้าใช้อีกครั้ง ไม่ว่าเซสชันจะยังทำงานอยู่หรือไม่ก็ตาม นี่คือขีดจำกัดการตรวจสอบสิทธิ์ซ้ำที่ AAL1 กำหนด

สิ่งที่ทุกบัญชีได้รับอยู่แล้ว

บางสิ่งที่ NIST 800-63B ร้องขอ PartsBox ได้ดำเนินการให้แล้วสำหรับทุกบัญชี ในทุกแพ็กเกจ:

• ความยาวรหัสผ่าน รหัสผ่านอยู่ระหว่าง 8 ถึง 512 ตัวอักษร อนุญาตให้ใช้วลีรหัสผ่านยาวๆ โดยไม่มีกฎบังคับสัญลักษณ์และไม่มีการหมดอายุเป็นระยะ ซึ่งตรงกับคำแนะนำปัจจุบันของ NIST
• การทำให้เป็นมาตรฐาน Unicode รหัสผ่านจะถูกทำให้เป็นมาตรฐานก่อนการแฮช ดังนั้นวลีรหัสผ่านจึงตรวจสอบสิทธิ์ในลักษณะเดียวกันในแป้นพิมพ์และอุปกรณ์ต่างๆ
• การจัดเก็บแบบแฮชและใส่เกลือ รหัสผ่านจะถูกจัดเก็บเป็นแฮช bcrypt ที่ใส่เกลือเท่านั้น ไม่เคยอยู่ในรูปแบบที่ใครก็อ่านได้
• การล็อคหลังจากล้มเหลวซ้ำๆ รหัสผ่านผิดหลายครั้งติดต่อกันจะล็อคบัญชีเป็นระยะเวลาสั้นๆ ซึ่งจะหยุดการเดารหัสผ่าน

AAL1 เป็นแบบปัจจัยเดียว: รหัสผ่านที่เลือกและจัดการอย่างถูกต้องก็เพียงพอแล้ว PartsBox ไม่ได้เพิ่มปัจจัยการตรวจสอบสิทธิ์ที่สอง สำหรับส่วนที่เหลือของการตั้งค่าตามกฎระเบียบ ให้รวมกฎเหล่านี้เข้ากับ การควบคุมการเข้าถึงตามบทบาท, บันทึกการตรวจสอบ และ การควบคุมล็อต — ดู การปฏิบัติตาม Title 21 CFR Part 11 สำหรับวิธีการทำงานร่วมกันของส่วนต่างๆ

การบังคับใช้ NIST SP 800-63B AAL1 อยู่ในแผน Compliance