NIST 安全規則

受監管的工作通常附帶驗證標準。美國 FDA Title 21 CFR Part 11 以及寫入許多國防和航空航太合約的安全控制措施，期望使用者帳戶遵循已發布的規則，包括如何選擇密碼、如何儲存密碼以及登入保持有效的時間。PartsBox 可以在驗證器保證等級 1 (AAL1) 強制執行 NIST 特別出版物 800-63B 中的規則。

強制執行增加了什麼

管理員在資料庫設定中為組織開啟此功能。啟用後，它將套用於該資料庫的每個成員：

• 常見密碼篩選。 當有人設定或變更密碼時，PartsBox 會根據最常見密碼清單進行檢查，並拒絕相符的密碼。您可以選擇該清單的大小 — 預設為前 100 個項目，最多可達前 100,000 個。
• 工作階段生命週期限制。 登入最多保持有效 30 天。之後，無論工作階段是否仍然處於活動狀態，使用者都必須再次登入。這是 AAL1 設定的重新驗證限制。

每個帳戶已經獲得的內容

NIST 800-63B 要求的部分內容，PartsBox 已經在每個方案的每個帳戶中實作：

• 密碼長度。 密碼長度介於 8 到 512 個字元之間。允許使用長密碼短語，沒有強制符號規則，也沒有定期到期，符合目前的 NIST 指南。
• Unicode 正規化。 密碼在雜湊之前會進行正規化，因此密碼短語在不同的鍵盤和裝置上的驗證方式相同。
• 加鹽、雜湊儲存。 密碼僅儲存為加鹽的 bcrypt 雜湊，絕不會以任何人都可以讀取的形式儲存。
• 重複失敗後鎖定。 連續輸入太多次錯誤密碼會在短時間內鎖定帳戶，這會阻止密碼猜測。

AAL1 是單一因素：正確選擇和處理的密碼就足夠了。PartsBox 不會新增第二個驗證因素。對於受監管設定的其餘部分，請將這些規則與 角色存取控制、稽核追蹤 和 批次控制 結合使用 — 請參閱 Title 21 CFR Part 11 了解這些部分如何組合在一起。

NIST SP 800-63B AAL1 執行包含在 Compliance 方案中。