Politique de mot de passe: longueur vs complexité

Politique de Mot de Passe : Longueur vs Complexité -- Qu'est-ce que NIST Recommande en Réalité

NIST SP 800-63B (mis à jour en 2024) a renversé des décennies de conseils sur les mots de passe : cessez d'imposer des règles de complexité, commencez à exiger de la longueur. Voici pourquoi, avec les mathématiques pour le prouver.

Le Calcul de l'Entropie

L'entropie mesure la difficulté de forcer un mot de passe. La formule est log2(taille_charset ^ longueur).

Un mot de passe en minuscules de 16 caractères est 8 millions de fois plus difficile à craquer qu'un mot de passe "complexe" de 8 caractères. La longueur l'emporte.

Ce que NIST SP 800-63B Dit

Pourquoi les Règles de Complexité se Retournent Contre

Lorsque vous imposez des modèles P@ssw0rd!, les utilisateurs font exactement cela -- des substitutions prévisibles que les outils de craquage exploitent en premier lieu. Les attaques de dictionnaire avec des règles de leet-speak craquent Tr0ub4dor&3 en secondes. Pendant ce temps, correct horse battery staple (4 mots aléatoires, ~44 bits à partir d'une liste de 2048 mots, ou choisissez 5-6 mots pour 55-66 bits) est à la fois plus fort et plus mémorable.

Mise en Œuvre Pratique

# Pseudocode pour une validation conforme à NIST
def validate_password(mot_de_passe: str, blocklist: set) -> bool:
    if len(mot_de_passe) < 12:
        return False  # appliquer une longueur minimale
    if mot_de_passe.lower() in blocklist:
        return False  # rejeter les mots de passe piratés connus
    return True  # pas de règles de complexité nécessaires

Utilisez un gestionnaire de mot de passe pour générer des mots de passe aléatoires de 16-20 caractères pour chaque compte. Essayez le Générateur de Mot de Passe pour créer des mots de passe à haute entropie instantanément -- définissez la longueur à 16+ et oubliez les maux de tête de complexité.

Conclusion Clé

Mettez à jour la politique de mot de passe de votre organisation : longueur minimale de 12 caractères, vérification de la liste noire, pas de rotation forcée, pas de règles de complexité. Vous obtiendrez une sécurité plus forte et moins de tickets d'aide.

Liens connexes

Etape suivante

Executez le flux dans Password Generator et enregistrez la baseline avant de scaler.