¿No se permiten los caracteres en una contraseña?

Question

¿Hay algo especial acerca de los caracteres que deberían permitirse/no permitirse en una contraseña?

Guardo la contraseña en db hashed/salado y uso PDO para evitar la inyección. ¿Es lo que estoy haciendo lo suficiente? Recientemente me encontré con un sistema que no permitía el uso de varios personajes, no los recuerdo a todos, pero uno fue el ampersand &. ¿Lo hacían por razones de inyección de anti-base de datos, o hay algo más que me falta? ¿Deben los caracteres de la contraseña restringirse a un cierto conjunto de caracteres o no es necesario?

Answer 1

No hay ninguna razón técnica para no permitir ningún carácter en una contraseña. Supongo que en el caso que describa, solo permitiría que los caracteres alfanuméricos eviten problemas del lado del usuario (por ejemplo, al ingresar un carácter que no está disponible en los teclados de otro país).

Muchos proveedores y sitios obligan a los usuarios a elegir contraseñas muy complejas que contienen un número mínimo de números y, a veces, incluso caracteres especiales para evitar la fuerza bruta o dictionary attacks.

No creo que forzar personas para elegir una contraseña compleja es sabio. Contraseñas que no puede recordar, las anotará en algún lugar, lo que a menudo crea un riesgo de seguridad mucho mayor en la vida real.

Un límite de velocidad simple en el sistema de inicio de sesión (por ejemplo, denegar el acceso durante 15 minutos después de 3 intentos fallidos de inicio de sesión) quita la amenaza de forzar la fuerza mucho más elegante.

Uno no tiene que estar de acuerdo al 100% con él, pero encontré este documento provocativo sobre el tema de Microsoft Research muy interesante. So Long, And No Thanks for the Externalities: The Rational Rejection of Security Advice by Users

Del resumen:

A menudo se sugiere que los usuarios están irremediablemente perezoso y desmotivado las cuestiones de seguridad. Eligen las contraseñas débiles , ignoran las advertencias de seguridad y olvidan a errores de certificados. Argumentamos que el rechazo de los usuarios de las recomendaciones de seguridad que reciben es completamente racional desde una perspectiva económica. El consejo ofrece a protegerlos de los costos directos de los ataques, pero les carga con costos indirectos mucho mayores en forma de esfuerzo.

Answer 2

¿Por qué le gustaría limitar los caracteres de una contraseña? Deberías estar haciendo algún tipo de hashing de todos modos. Mis contraseñas contienen con frecuencia símbolos especiales, incluidos los que no están incluidos en el teclado.

Si desea limitaciones, solo debe exigir que sean más complejas, no menos.

Answer 3

Lo único que no puedo permitir/eliminar en las contraseñas es el espacio en blanco, no hay ninguna razón para forjar algo más.

Answer 4

Cuando entro contraseñas, que normalmente gusta escribir frases más largas que puedo recordar en lugar de p" % &/k1 o similares.

Así que asegúrese de que permite a los usuarios escribir contraseñas de más de 10signs. Siempre me frustra, cuando me veo forzado a ingresar una contraseña corta con caracteres especiales en lugar de una más larga que sería más memorable y más segura.

Answer 5

Solo rechazo los caracteres que no se pueden escribir en un teclado estándar. No hay ninguna razón por la que un usuario no pueda elegir una contraseña segura con 26 letras mayúsculas y minúsculas, 10 números y 20 símbolos.

Si está haciendo un sistema de inicio de sesión para un sitio público, en lugar de forzar a los usuarios a elegir una contraseña segura, recomendaría usar OpenID. De esta forma, el usuario no necesita recordar una nueva contraseña difícil de recordar solo para su sitio.

Answer 6

No te metas con la contraseña del usuario.

Solo asegúrese de estar utilizando una codificación y reglas consistentes en todas las etapas del manejo de su contraseña. En su caso, la codificación no debería ser un problema ya que está almacenando sales.

Como ejemplos, he venido con reglas estúpidas como contraseñas de 4 dígitos (!!!), solo caracteres alfabéticos (az) y un sitio web académico que trunca silenciosamente las contraseñas de 10 caracteres en el registro y falla cuando Intentó iniciar sesión con la contraseña larga.

Answer 7

Me encontré con esta pregunta mientras hacía una investigación y pensé que tenía que contribuir.

En realidad, creo que las contraseñas deben no aceptar cualquier carácter. El problema puede venir con caracteres que no son parte de la tabla ASCII estándar.

Tomemos, por ejemplo, la letra ü (u minúscula con diéresis):

• En el ASCII extendido, que el carácter es 0x81.
• En ISO-8859-1 (muy común en los países occidentales) es 0xFC.
• En UTF-8 ü tiene el punto de código U + 00FC, y por lo tanto se puede representar como 0xC3BC
• En UTF-8 El personaje también puede ser no normalizada, sin embargo. Por lo tanto, podría estar compuesto por el carácter umlaut (solo el ¨) más el u: el resultado es otra secuencia diferente de bytes.

En todos los casos anteriores, el hash para la contraseña será diferente y el inicio de sesión fallará.

Una posible solución para permitir que cualquier carácter Unicode todavía es asegurar que toda la página utiliza UTF-8 en todas partes, y normalizar las contraseñas (por ejemplo con el modo NFC) antes de hash ellos.
Sin embargo, en este punto puede ser más fácil rechazar cualquier carácter que no forme parte de la tabla ASCII estándar: bytes 0x00-0x7F o (aún mejor, eliminar caracteres de control y otros no representables más líneas nuevas) 0x20-0x7E.