Przejdź do głównej zawartości

5.17 Informacje uwierzytelniające

W skrócie: hasła, klucze i inne dane uwierzytelniające są bezpiecznie wydawane, przechowywane i zmieniane, a użytkownicy wiedzą, jak je chronić.

Cel: zapewnienie właściwego uwierzytelniania i zapobieganie błędom w procesie uwierzytelniania.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Identity_and_access_management (zarządzanie tożsamością i dostępem)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Przydział: tymczasowe hasła generowane losowo i zmieniane przy pierwszym użyciu, weryfikacja tożsamości przed wydaniem lub odnowieniem informacji uwierzytelniających, przekazanie bezpiecznym kanałem, potwierdzenie odbioru, zmiana domyślnych haseł dostawców po instalacji.
  • Obowiązki użytkowników: zachowanie informacji uwierzytelniających w tajemnicy, natychmiastowa zmiana przy podejrzeniu ujawnienia, stosowanie silnych haseł, nieużywanie tego samego hasła w systemach służbowych i prywatnych.
  • Informacje uwierzytelniające są objęte warunkami zatrudnienia (6.2).
  • System zarządzania hasłami powinien m.in. pozwalać użytkownikom wybierać i zmieniać hasła, wymuszać jakość haseł, wymuszać zmianę domyślnego hasła przy pierwszym logowaniu, zapobiegać ponownemu użyciu poprzednich haseł, blokować hasła popularne i znane z wycieków, nie wyświetlać haseł przy wpisywaniu, przechowywać i przesyłać hasła w postaci chronionej (zob. 8.24).
  • Zmiana hasła wtedy, gdy jest potrzebna — np. po incydencie bezpieczeństwa albo po odejściu osoby, która znała hasło. Wydanie 2022 nie zaleca zmiany okresowej. W dodatkowych informacjach zauważa, że częste zmiany są uciążliwe, i wskazuje alternatywy: pojedyncze logowanie (SSO) i sejfy haseł — z zastrzeżeniem, że skupiają one ryzyko w jednym miejscu.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Hasła przechowywane jako skróty z solą przy użyciu algorytmów odpornych na łamanie (Argon2id, bcrypt, scrypt), a nie „szyfrowane”.
  • NIST SP 800-63B idzie dalej niż norma: minimalna długość, sprawdzanie nowych haseł z listami haseł ujawnionych, brak wymuszonej okresowej zmiany i brak reguł złożoności typu „wielka litera i cyfra” (norma w obowiązkach użytkowników wciąż wspomina o znakach specjalnych).
  • Menedżer haseł dla pracowników i sejf sekretów (np. HashiCorp Vault) dla aplikacji — zamiast haseł w plikach konfiguracyjnych.
  • Klucze dostępu (passkeys, FIDO2) tam, gdzie system je obsługuje — eliminują phishing haseł.

Powiązania​