Dois-je imposer une longueur maximale aux mots de passe ?

Question

Je peux comprendre que l'imposition d'une longueur minimale pour les mots de passe est très sensée (pour sauver les utilisateurs d'eux-mêmes), mais ma banque exige que les mots de passe comportent entre 6 et 8 caractères, et j'ai commencé à me demander...

• Cela ne faciliterait-il pas les attaques par force brute ? (Mauvais)
• Cela signifie-t-il que mon mot de passe est stocké en clair ? (Mauvais)

Si quelqu'un qui emploie (espérons-le) de bons professionnels de la sécurité informatique impose une longueur maximale pour les mots de passe, dois-je envisager de faire de même ? Quels sont les avantages et les inconvénients de cette mesure ?

Answer 1

Les mots de passe sont hachés à 32, 40, 128, quelle que soit leur longueur. La seule raison d'une longueur minimale est d'empêcher les mots de passe faciles à deviner. Il n'y a aucune raison pour une longueur maximale.

L'obligation XKCD expliquant pourquoi vous rendez un mauvais service à votre utilisateur si vous imposez une longueur maximale :

Answer 2

La longueur maximale spécifiée pour un champ de mot de passe doit être lue comme un code d'accès. AVERTISSEMENT DE SÉCURITÉ . Tout utilisateur raisonnable et soucieux de la sécurité doit envisager le pire et s'attendre à ce que ce site stocke votre mot de passe littéralement (c'est-à-dire sans le hacher, comme l'explique epochwolf).

Dans ce cas, c'est le cas :

1. Évitez d'utiliser ce site comme la peste si possible. Ils ne connaissent manifestement rien à la sécurité.
2. Si vous devez vraiment utiliser le site, veillez à ce que votre mot de passe soit unique - différent de tout autre mot de passe que vous utilisez ailleurs.

Si vous développez un site qui accepte les mots de passe, ne pas mettez une limite de mot de passe stupide, à moins que vous ne vouliez être mis dans le même sac.

(En interne, bien sûr, votre code peut ne traiter que les premiers 256/1024/2k/4k/(peu importe) octets comme "significatifs", afin d'éviter le traitement de mots de passe gigantesques).

Answer 3

Le fait de permettre une longueur de mot de passe totalement illimitée présente un inconvénient majeur si vous acceptez le mot de passe de sources non fiables.

L'expéditeur pourrait essayer de vous donner un mot de passe si long qu'il entraînerait un déni de service pour d'autres personnes. Par exemple, si le mot de passe représente 1 Go de données et que vous passez tout votre temps à l'accepter jusqu'à ce que vous n'ayez plus de mémoire. Supposons maintenant que cette personne vous envoie ce mot de passe autant de fois que vous êtes prêt à l'accepter. Si vous ne faites pas attention aux autres paramètres impliqués, cela pourrait conduire à une attaque DoS.

Fixer la limite supérieure à quelque chose comme 256 caractères semble excessivement généreux par rapport aux normes actuelles.

Answer 4

Tout d'abord, ne supposez pas que les banques ont de bons professionnels de la sécurité informatique qui travaillent pour elles. Beaucoup ne le font pas. .

Cela dit, la longueur maximale des mots de passe ne sert à rien. Elle oblige souvent les utilisateurs à créer un nouveau mot de passe (les arguments sur l'intérêt d'utiliser des mots de passe différents sur chaque site étant mis de côté pour le moment), ce qui augmente la probabilité qu'ils les écrivent tout simplement. Cela augmente aussi considérablement la vulnérabilité aux attaques, par n'importe quel vecteur, de la force brute à l'ingénierie sociale.

Answer 5

Une raison que je peux imaginer pour imposer une longueur maximale de mot de passe est si le frontal doit s'interfacer avec de nombreux backends de systèmes existants, dont l'un impose lui-même une longueur maximale de mot de passe.

Un autre raisonnement pourrait être que si un utilisateur est obligé d'utiliser un mot de passe court, il est plus susceptible d'inventer un charabia aléatoire qu'une phrase d'accroche ou un surnom facile à deviner (par ses amis/famille). Cette approche n'est bien sûr efficace que si le frontal impose le mélange de chiffres et de lettres et rejette les mots de passe contenant des mots du dictionnaire, y compris les mots écrits en langage l33t.