Düzenlemeye tabi işler genellikle ekli bir kimlik doğrulama standardı ile birlikte gelir. ABD FDA Başlık 21 CFR Bölüm 11 ve birçok savunma ve havacılık sözleşmesinde yazılı olan güvenlik kontrolleri, kullanıcı hesaplarının bir parolanın nasıl seçileceği, nasıl saklanacağı ve bir oturum açmanın ne kadar süre geçerli kalacağı konusunda yayınlanmış kurallara uymasını bekler. PartsBox, NIST Özel Yayını 800-63B'deki kuralları Kimlik Doğrulayıcı Güvence Seviyesi 1'de (AAL1) uygulayabilir.
Bir yönetici bunu organizasyon için veritabanı ayarlarından açar. Etkinleştirildiğinde, o veritabanının her üyesi için geçerli olur:
- Yaygın şifre taraması. Birisi bir şifre belirlediğinde veya değiştirdiğinde, PartsBox bunu en yaygın şifreler listesine karşı kontrol eder ve bir eşleşmeyi reddeder. Bu listenin ne kadar büyük olacağını siz seçersiniz — varsayılan olarak ilk 100 giriş, ilk 100.000'e kadar.
- Oturum ömrü sınırı. Bir oturum açma işlemi en fazla 30 gün geçerli kalır. Bundan sonra, oturum hala aktif olsun veya olmasın kullanıcı tekrar oturum açar. Bu, AAL1'in belirlediği yeniden kimlik doğrulama sınırıdır.
NIST 800-63B'nin istediklerinin bir kısmını PartsBox zaten her hesap için, her planda yapıyor:
- Şifre uzunluğu. Bir şifre 8 ile 512 karakter arasındadır. Mevcut NIST rehberliğine uygun olarak, zorunlu sembol kuralları ve periyodik sona erme olmadan uzun parola ifadelerine izin verilir.
- Unicode normalizasyonu. Şifreler hashlenmeden önce normalleştirilir, böylece bir parola ifadesi farklı klavyelerde ve cihazlarda aynı şekilde kimlik doğrulaması yapar.
- Tuzlanmış, hashlenmiş depolama. Bir şifre yalnızca tuzlanmış bir bcrypt hashi olarak saklanır, asla kimsenin okuyabileceği bir biçimde saklanmaz.
- Tekrarlanan başarısızlıklardan sonra kilitleme. Üst üste çok fazla yanlış şifre, hesabı kısa bir süre için kilitler, bu da şifre tahminini durdurur.
AAL1 tek faktörlüdür: doğru seçilmiş ve işlenmiş bir parola yeterlidir. PartsBox ikinci bir kimlik doğrulama faktörü eklemez. Düzenlenmiş bir kurulumun geri kalanı için bu kuralları role dayalı erişim kontrolü, denetim izi ve parti kontrolü ile birleştirin — parçaların nasıl bir araya geldiğini görmek için Title 21 CFR Part 11 bölümüne bakın.
NIST SP 800-63B AAL1 uygulaması Compliance planındadır.