Parol siyosati va ikki bosqichli kirish: NIST yoʻriqnomasi nima deydi

Parol siyosatining eng tanish shakli shunday: kamida sakkiz belgi, bitta bosh harf, bitta raqam, bitta maxsus belgi va har toʻqson kunda almashtirish. Amerikaning NIST instituti 2025 yilda chiqargan yoʻriqnomada bu qoidalarning ikkitasini ochiq taqiqlaydi: murakkablik talablari qoʻyilmaydi va parol belgilangan muddat bilan majburan almashtirilmaydi. Sabab nima va uning oʻrniga nima talab qilinadi?

NIST yoʻriqnomasi nima va u kimga tegishli

NIST AQShning standartlar va texnologiyalar instituti. Uning SP 800-63B hujjati davlat axborot tizimlarida foydalanuvchini tarmoq orqali tasdiqlash qoidalarini belgilaydi. Yaʼni bu xususiy kompaniya uchun qonun emas, lekin boshqa tashkilotlar unga tayanadi. Masalan, OWASP veb-ilovalar uchun parol uzunligi, murakkabligi va almashtirilishini NIST bandlariga moslashtirishni tavsiya qiladi.

Hujjatning joriy nashri SP 800-63B-4. NIST sahifasida u 2025 yil iyulda yakuniy shaklda chiqqani koʻrsatilgan va 2020 yil martdagi oldingi nashrni almashtirgan. Oldingi nashrning oʻz sahifasida esa u 2025 yil 1 avgustdan yangi hujjat bilan almashtirilgani yozilgan, asl nashr 2017 yil iyunda chiqqan. Ikki sahifadagi sana bir oz farq qiladi, lekin maʼno bir xil: yangi nashr kuchda.

Uzunlik murakkablikdan muhimroq

Yangi nashr parol uzunligi uchun aniq sonlarni beradi. Faqat parolning oʻzi bilan kiriladigan hisobda kamida 15 belgi talab qilinadi, parol ikki bosqichli kirishning bir qismi boʻlsa, kamida 8 belgi yetadi. Tizim kamida 64 belgigacha boʻlgan parolni qabul qilishi lozim, boʻsh joy va Unicode belgilar ham ruxsat etiladi. Oldingi nashr esa 8 belgi minimumini belgilagan edi.

Uzunlikka urgʻu nima uchun? Oldingi nashrning ilovasida shunday yozilgan: uzunlik parol kuchining asosiy omili. Murakkablik qoidalarining foydasi dastlab oʻylangandek katta emas, foydalanuvchiga qulaylik va yodda saqlashga taʼsiri esa jiddiy. Ilova yana bir oddiy kuzatuvni keltiradi: odam «password» ni «Password1» ga, belgi talab qilinsa «Password1!» ga aylantiradi.

Hujumchi bu odatni biladi, shu sabab bunday parolni topish qiyin emas. Gipotetik misol: xodimga sakkiz belgi va maxsus belgi talab qilinsa, u yoʻl-yoʻriq bilan kompaniya nomi va tugatishda undov belgisini qoʻyadi. Tizim qoidaga amal qildi, parol esa baribir oʻylab topish oson. Uzun, odam eslay oladigan ibora esa bunday naqshga tushmaydi.

Ochiq hisob-kitob bilan solishtirib koʻraylik, u ham gipotetik va faqat tasodifan tanlangan parollar uchun toʻgʻri. Sakkiz belgili parol 94 xil belgidan tuzilsa, variantlar soni 16 xonali son boʻladi. Faqat kichik lotin harflaridan tuzilgan 15 belgili parolda esa variantlar soni 22 xonali son, yaʼni taxminan 275 ming marta koʻp. Odam tanlagan parol tasodifiy emas, shuning uchun amalda farq boshqacha boʻladi, lekin yoʻnalish bir xil: uzunlik kuchni oddiy belgi qoʻshishdan koʻproq oshiradi.

Ilova yana bir muhim farqni ajratadi. Parolga internet orqali urinish tezlik bilan cheklanadi, shuning uchun u yerda parol kuchi kamroq muhim. Baza oʻgʻirlangan boʻlsa, hujumchi sekundiga milliardlab variantni sinay oladi va bu yerda uzunlik hal qiluvchi.

Almashtirish, maxfiy savollar va maslahatlar

Yangi nashr majburiy davriy almashtirishni taqiqlaydi, faqat buzilish belgisi paydo boʻlsa, almashtirish talab qilinadi. Parol tanlashda bilimga asoslangan maxfiy savollarni soʻrash ham taqiqlangan, kirmagan odamga koʻrinadigan parol maslahatlari ham ruxsat etilmaydi.

Manbaning oʻqilgan qismida almashtirish taqiqining sababi alohida izohlanmagan, shuning uchun quyidagi mulohaza tahririyatniki. Majburiy almashtirish xodimni tez-tez yangi parol eslab qolishga majbur qiladi. Natijada u eski parolning oxiriga raqam qoʻshadi yoki uni qogʻozga yozib qoʻyadi. Hujumchi esa buni oldindan biladi, shu sabab almashtirishning yangi parol kuchini oshirishi shubhali.

Parol qabul qilinayotganda nima tekshiriladi

NIST yangi parol qabul qiluvchi tizim uchun amaliy talablarni sanaydi:

• Parol oldin sizib chiqqan, juda oddiy yoki kontekstga bogʻliq qiymatlar roʻyxati bilan solishtiriladi, masalan xizmat nomi yoki foydalanuvchi nomi.
• Rad etilganda foydalanuvchiga sabab aytiladi va boshqa parol tanlash soʻraladi.
• Parol qirqib tashlanmaydi, toʻliq tekshiriladi.
• Parol menejeri, avtomatik toʻldirish va qoʻyib kiritish ruxsat etiladi, parolni yozilayotganda koʻrsatish imkoniyati taklif qilinadi.
• Notoʻgʻri urinishlar soni cheklanadi.
• Parol saqlanganda tuz bilan aralashtirilib, heshlanadi.

Qoʻyib kiritishning ruxsat etilishi bejiz emas. Parol menejeri uzun va noyob parol yaratib, uni oʻzi kiritsa, odam yodlashga majbur boʻlmaydi, parol esa uzun va har xizmatda boshqacha boʻladi.

Parol tizim ichida qanday saqlanadi

Foydalanuvchi parol tanlaganda, tizim uni ochiq matn koʻrinishida emas, heshlangan shaklda saqlashi kerak. Heshlash parolni qaytarib boʻlmaydigan belgilar qatoriga aylantiradi, tekshirishda esa kiritilgan parolning heshi saqlangani bilan solishtiriladi. Baza oʻgʻirlansa ham, hujumchi parolni darrov oʻqiy olmaydi.

NIST bunga ikki talab qoʻshadi. Har bir parolga alohida tasodifiy qoʻshimcha, yaʼni tuz qoʻshiladi va uning uzunligi kamida 32 bit boʻladi, shunda bir xil parollar bazada bir xil koʻrinmaydi. Qoʻshimcha himoya sifatida kalit bilan heshlash tavsiya etiladi, bu esa bazaning oʻzi oʻgʻirlansa ham parolni topishni yanada qiyinlashtiradi.

Ikkinchi omil nima uchun parol bilan yetarli emas

OWASP qoʻllanmasi hisob buzilishlarining koʻpi kuchsiz, takrorlangan yoki oʻgʻirlangan parol tufayli boʻlishini yozadi va ikki bosqichli kirishni parolga qarshi hujumlarning koʻpiga qarshi eng yaxshi himoya deb ataydi. Sahifada Microsoft tahlili ham keltirilgan: ikkinchi omil hisob buzilishlarining 99,9 foizini toʻxtatgan boʻlardi. Bu sotuvchining daʼvosi, mustaqil oʻlchov emas.

Omillar uch turga boʻlinadi: biladigan narsa, qoʻldagi narsa va odamning oʻzi. Parol va PIN ikkalasi ham bilimga tegishli, shuning uchun ular ikki omil hisoblanmaydi. Parol va telefondagi bir martalik kod esa ikki xil omil.

Ammo hamma ikkinchi omil bir xil kuchli emas. SMS orqali kelgan kod SIM kartani almashtirish hujumiga ochiq va NIST uni cheklangan usul deb tasniflaydi. Telefonga kelgan tasdiqlash soʻrovlari ham xavfli: hujumchi ularni ketma-ket yuboradi va charchagan foydalanuvchi bittasini tasdiqlab qoʻyadi. Soxta oraliq sahifa esa parol bilan birga kodni ham real vaqtda uzatib yuboradi.

Shu uchun OWASP fishingga chidamli usullarni afzal koʻradi, yaʼni kalit asosida ishlaydigan qurilma yoki passkey. NIST yangi nashrida fishingga chidamlilikni kriptografik usul deb tushuntiradi, qoʻlda kiritiladigan bir martalik kod esa bunday emas.

Amaliy standart variant sifatida OWASP ilovada hosil qilinadigan vaqtinchalik kodni, yaʼni TOTP ni tavsiya qiladi va uni foydalanuvchilarga taklif qilishni maslahat beradi, bunda umumiy standartga asoslangan ilovalar ishlab chiqaruvchiga xos variantlardan afzal. Bu usul fishingga chidamli kalitlardan zaifroq, chunki soxta sahifa qoʻlda kiritilgan kodni baribir olib qoʻyishi mumkin.

Ikkinchi omilni qachon soʻrash kerakligi ham muhim. OWASP uni birinchi navbatda kirishda talab qiladi, shuningdek parol yoki pochtani oʻzgartirishda, ikkinchi omilni oʻchirishda va administrator huquqiga oʻtishda. Barcha kirish yoʻllari, jumladan mobil ilova va dasturlararo ulanishlar ham bir xil himoyaga ega boʻlishi kerak, aks holda hujumchi eng zaif yoʻlni tanlaydi. Yangi qurilma yoki odatiy boʻlmagan joydan kirishda qoʻshimcha tekshiruv talab qilish foydalanuvchini keraksiz soʻrovlar bilan charchatmaydi.

NIST kirish ishonchliligini uchta darajaga boʻladi va har biri uchun talablar toʻplamini beradi.

Jadvaldagi darajalar kirish davomiyligiga ham taʼsir qiladi. Ikkinchi darajada qayta tasdiqlash kamida har 24 soatda va foydalanuvchi bir soat harakatsiz qolsa talab qilinadi. Uchinchi darajada bu chegara qattiqroq: 12 soat va 15 daqiqa. Demak, kuchli himoya faqat birinchi kirishni emas, tizimda ochiq qolgan seansni ham qamrab oladi.

Ilovalarda bu xato qanchalik uchraydi

OWASP 2021 yildagi eng xavfli kamchiliklar roʻyxatida kirish va autentifikatsiya xatolarini yettinchi oʻringa qoʻygan. Oldingi nashrlarda u ikkinchi oʻrinda turgan, endi esa unga identifikatsiya bilan bogʻliq boshqa kamchiliklar ham qoʻshilgan. Toifaga 22 xato turi kiritilgan va 132 195 holat qayd etilgan.

Kamchilik ostiga eng oddiy narsalar kiradi: boshlangʻich yoki kuchsiz parol, ikkinchi omilning yoʻqligi, zaif tiklash jarayoni, parolning ochiq matnda saqlanishi. Himoya choralari ham tanish: ikkinchi omil, boshlangʻich parollarni olib tashlash, yangi parolni eng yomon oʻn ming parol roʻyxati bilan solishtirish va qoidalarni NIST ning parol boʻlimiga moslashtirish.

Amalda nima qilish mumkin

Quyidagilar manbalardan chiqarilgan tahririyat xulosasi. NIST talablari davlat tizimlari uchun yozilgan, xususiy kompaniya ularni oʻz xavfiga qarab moslashtiradi.

1. Parol qoidasini yozib chiqing: murakkablik talablarini olib tashlang va uzunlikni oshiring.
2. Majburiy davriy almashtirishni bekor qiling, buzilish gumoni boʻlsa almashtirishni talab qiling.
3. Yangi parolni sizib chiqqan va oddiy parollar roʻyxati bilan solishtiring.
4. Administrator va integratsiya hisoblaridan boshlab ikkinchi omilni majburiy qiling.
5. Imkon boʻlsa, SMS oʻrniga ilova yoki fizik kalit tanlang.

Parol siyosatini oʻzgartirishdan oldin odamlarga sababini tushuntiring. Aks holda xodim yangi qoidani yana bir noqulaylik deb qabul qiladi va uni aylanib oʻtadi. Qoida oʻzgargan kuni hamma parolni bir vaqtda almashtirish shart emas: eski qoida bilan yaratilgan zaif parollarni bloklangan roʻyxat bilan tekshirib, faqat ularni bosqichma-bosqich almashtirish mumkin. Bu tahririyat fikri.