了解最新的 NIST 密码指南

NIST 密码指南更新核心内容总结

1. 密码策略更新

• 核心观点：NIST 800-63B 指南放弃传统长复杂密码要求，强调“容易记住但难以猜测”的密码。
• 关键数据：密码长度建议为 8-64 个字符，无需强制使用特殊字符，禁止使用“常用、预期或已被泄露”的密码（包括字典单词、泄露密码、重复字符）。
• 实施建议：禁止使用密码提示，取消固定密码有效期要求。

2. 多因素认证（MFA）标准

• 核心观点：推荐使用“你知道的东西”（密码）+“你拥有的东西”（令牌）的双因素认证。
• 关键数据：MFA 令牌要求（如 OTP 设备）需满足 112 位密钥长度，输出需至少每两分钟更改一次。
• 技术示例：软令牌（如 Google Authenticator）生成 6-8 位一次性密码，每 30 秒更新一次。

3. 生物识别认证警告

• 核心观点：NIST 对生物识别认证持谨慎态度，仅支持其作为“你是什么”（行为特征）与“你拥有的东西”结合使用。
• 关键数据：生物识别信息非秘密，易被篡改或盗用，需额外因素（如令牌）配合使用。
• 实施要求：生物识别不能单独作为认证因子，必须结合其他认证方式。

4. 用户行为与安全建议

• 核心观点：过度复杂的密码要求会降低用户体验，导致用户作弊（如重复使用密码）。
• 关键数据：90% 企业计划使用生物识别认证（2020 年研究），但 NIST 呼吁平衡安全与易用性。
• 缓解措施：推荐使用黑名单、安全哈希存储、速率限制等技术手段替代复杂密码要求。

5. 企业解决方案建议

• 核心观点：企业需通过技术工具（如 SpyCloud）实时检测和阻止泄露密码使用。
• 关键数据：SpyCloud 数据库收录超 770 亿条泄露凭证，每月新增 10 亿条，可集成 SIEM、Active Directory 等。
• 具体工具：SpyCloud Active Directory Guardian 可自动检测和重置违规密码，支持 k-匿名技术独立检查密码。