NIST تقول: توقفوا عن فرض تغيير كلمات المرور

المسودة الجديدة لإرشادات الهوية الرقمية من NIST (SP 800-63B، المراجعة الرابعة) تقول صراحة ما يردده أهل الأمن منذ سنوات. لا يجوز للأنظمة:

• إجبار الناس على تغيير كلمات المرور بجدول زمني،
• اشتراط خليط من الحروف الكبيرة والأرقام والرموز،
• استخدام تلميحات كلمة المرور أو أسئلة الأمان.

لماذا؟ التغيير الإجباري يعطيك Summer2024! ثم Autumn2024!. وقواعد التركيب تعطيك النمط المتوقع نفسه في كل مكان. المشكلة ليست في الناس، بل في القواعد.

ما تريده NIST بدلًا من ذلك:

1. الطول. 8 أحرف على الأقل، ويفضّل 15، والسماح بالطويلة (64 أو أكثر)، والسماح بالمسافات لتعمل العبارات الطويلة.
2. منع كلمات المرور السيئة. افحص الجديدة مقابل قوائم المسرّب والشائع منها.
3. التغيير فقط عند وجود سبب، مثل دليل على تسريب.
4. التحقق الثنائي على كل ما يهم.

إذا كانت سياسة شركتك ما زالت تقول «غيّر كل 90 يومًا»، فهذه هي الوثيقة التي تُرسلها لمن كتبها.