Зачем ограничивать длину пароля?

Я только что подписался на сайт, чтобы купить некоторые товары, и когда я попытался ввести мой (разумно безопасный) пароль, мне сообщили, что он слишком длинный, и что я должен ввести пароль от 5 до 10 символов! В чем смысл? Кто принимает такие решения? Разумеется, идеальный пароль был бы очень длинным и сложным? Почему люди настаивают на попытке ограничить, какие типы паролей вы можете использовать?

Вам пришлось внедрить логин на веб-сайт? Был ли вход в безопасные целях (например, покупка товаров). Какие (если есть) ограничения вы указали в пароле пользователя? Каковы были ваши причины для принятия решения?

Ответ 1

Ограничение размера пароля - попытка сохранить место для хранения. Это в значительной степени указывает на то, что ваш пароль хранится прямо в своей базе данных, поэтому они хотят ограничить свой размер. В противном случае это просто ограничение, потому что разработчики ничего не знают. В любом случае это плохой знак.

Возможно, вам захочется связаться с администраторами сайта и спросить их об этом. Они должны хранить хеши, а не пароли, которые всегда одинакового размера, независимо от того, насколько большой пароль. На самом деле не должно быть ограничений на размер вводимого пароля, а также на домен символов, которые вам разрешено вводить.

Ответ 2

Наиболее распространенная причина этого заключается в том, что интерфейс закрывается старой старой системой, которая не обрабатывает больше заданного количества символов.

Ответ 3

Кажется особенно глупым, учитывая, что любой наполовину приличный веб-сайт не хранит пароли открытого текста в своей базе данных, они хранят односторонний хэш этого пароля (который всегда будет заданной длиной в зависимости от используемого алгоритма, например sha1 является 160 бит), а затем перефразировать этот пароль при входе в систему, чтобы убедиться, что новый хешированный пароль совпадает с сохраненным.

За исключением эстетики дизайна интерфейса - я согласен, нет смысла вводить максимальную длину пароля. Минимальная длина совершенно разная, хотя по понятным причинам.

Ответ 4

Ограничение длины, вероятно, связано с проблемой хранения данных, но это может быть очень плохая мера анти-скриптинга. Я был бы намного увереннее, если бы мой банк сказал мне, что мой пароль был слишком коротким, а не слишком длинным. Всякий раз, когда мне говорят, что мой пароль слишком короткий, или "специальные" символы не допускаются, я думаю: "О, они, должно быть, не нашли мой пароль в их словаре... facepalm."

Любые символы должны быть разрешены. Пропустить фразы следует поощрять, а не обескураживать. Их гораздо легче запомнить, чем загадочные пароли и гораздо сложнее взломать, так как они не будут в таблице поиска.

Ответ 5

Некоторые (плохо разработанные) веб-сайты имеют максимальную длину пароля по простой причине: все пространство, которое у них есть в своей базе данных для хранения вашего пароля. Там хороший шанс, что они не хешируют его или не обрабатывают вообще, а это означает, что он хранится в текстовом формате. Сайты, подобные тому, что я использую один раз, отбрасывают пароли для каждого раза. Это плохой дизайн, и это печально, что люди все еще используют его.

Ответ 6

Может быть, алгоритм, который они используют для шифрования, плохо работает с большими паролями или что у них ограниченное хранилище для хранения. Я знаю, что это очень плохие причины, но это возможно.

Если бы я должен был создавать правила для паролей, это было бы только защищать пользователей, например, принуждать их использовать хотя бы один специальный символ и число или смешивать нижний и верхний регистры.

Ответ 7

Нечувствительный к регистру 10-значный буквенно-цифровой пароль имеет 839,299,365,868,340,224 возможных перестановок. Это займет несколько ледниковых периодов до грубой силы, если предположить, что он может проверять 1 миллион в секунду. Это достаточно безопасно для меня.

"Лучшая" причина, вероятно, заключается в том, что вы можете запомнить пароль.

Ответ 8

Это может быть потому, что они хранят ваш пароль в виде обычного текста и пытаются сэкономить место, но также могут быть попытки остановить людей, которые делают свои пароли очень долго, а затем забывают их, что означает, что компания должна отправить электронное письмо с вашим паролем, что немного хлопот.

Ответ 9

Единственной возможной причиной ограничения пароля таким образом было бы упрощение таблицы базы данных, и это была плохая причина. Должны быть разрешены длинные сложные пароли!

Кроме того, сайт не должен хранить пароль вообще, а скорее хранить крипто хэш. Поскольку хэш является фиксированным размером, это делает базу данных очень простой и требования к хранению небольшими.