Heslová politika

Heslová politika je označení pravidel ohledně hesel. Tato pravidla mohou být doporučením, mohou být nařízena v rámci organizace, a nebo mohou být i technicky vynucována (pokud to operační systém či daná aplikace podporuje). Mezi typická pravidla patří požadavky na minimální sílu hesla a požadavek na pravidelnou změnu hesla, ale heslová politika může zahrnovat i černé listiny nepovolených hesel, povolené způsoby zálohování hesel (například v zabezpečeném software pro správu hesel), povolení či zákaz používat stejné heslo k více systémům v rámci organizace nebo i sankce za nedodržování těchto pravidel.

Do heslové politiky rovněž často patří specifikace, jakým způsobem nakládá s hesly sám systém, do kterého je heslo zadáváno. Tedy zda je uloženo v otevřené podobě nebo je uložen jen jeho kryptograficky silný haš, zda je a jak je v uloženém haši obsažena sůl a jakým způsobem probíhá porovnávání hesla s uloženou podobou. Od způsobu uložení se přitom zpětně odvíjí i možné požadavky na hesla – například pokud má být technicky vynucováno, aby uživatelovo nové heslo bylo různé od jeho předcházejících pěti hesel, musí se v systému uchovávat nějaká informace o pěti posledních heslech každého uživatele.

Okrajově do heslové politiky spadá i otázka, jakým způsobem se systém brání proti zkoušení hesel. Některé systémy umožňují omezený počet neúspěšných pokusů a pak účet zablokují, jiné systémy mohou třeba prodlužovat časovou prodlevu mezi jednotlivými pokusy.

Jednotlivé požadavky heslové politiky je zapotřebí správně vyvážit, protože žádoucí vlastnosti jdou do jisté míry proti sobě. Například pokud politika vyžaduje od uživatelů vymýšlení velmi složitých hesel, nebo jim dokonce systém hesla sám náhodně generuje, bude pro uživatele obtížné si heslo zapamatovat a budou mít sklony si je co nejpohodlněji a nejpřístupněji zazálohovat pro případ zapomenutí. Podobně požadavek na častou změnu hesla kladoucí přílišné nároky na lidskou paměť povede opět buď k zaznamenávání hesel v zálohách, nebo k vymýšlení systematicky podobných hesel.

Reference

V tomto článku byl použit překlad textu z článku Password policy na anglické Wikipedii.