Mannen som opprettet passord helvete innrømmer at han tok feil

Mannen hvis råd tvang verden til å velge komplekse passord - med store bokstaver, tall og spesialtegn - har innrømmet at han 'bjeffet opp feil tre'.

Bill Burr, som jobber ved National Institute of Standards and Technology, blekket retningslinjene for passordstyrke i 2003.

Da rådet han oss også til å oppdatere passord regelmessig, noe som betyr at vi hadde opptil ti komplekse passord å huske til enhver tid.

"Mye av det jeg gjorde, angrer jeg nå på," sa Burr, nå 72 og pensjonist Wall Street Journal.

"Til slutt var det sannsynligvis for komplisert for mange å forstå veldig godt, og sannheten var at den bjeffet opp feil tre."

Så hvor forlater det oss? Heldigvis skaper NIST et helt nytt sett med retningslinjer, som overhaler mange av praksisene.

De nye retningslinjene vil kreve lengre setninger med minneverdige ord sammenkoblet. For eksempel, 'fishchipsmushypeas', ville være mye vanskeligere for botnett å gjette enn svakere passord med enkeltord full av spesialtegn og tall.

Disse passordene er tilsynelatende enkle å gjette fordi folk bare bytter ut en 'o' for en '0', eller en 'i' for en '!'

Farvel, tvangsendringer

Det nye rådet krever også at regelmessige, håndhevede passordendringer blir fjernet med mindre det er et sikkerhetsbrudd.

NIST mener at folk bare har en tendens til å endre ett tegn når de blir tvunget til å endre et passord. Så Password1 blir Password2 og så videre.

De nye retningslinjer si: “Forskning har imidlertid vist at brukere reagerer på svært forutsigbare måter på kravene som stilles av komposisjonsregler. For eksempel vil en bruker som kanskje har valgt “passord” som passord være relativt sannsynlig å velge “Passord1” hvis nødvendig for å inkludere en stor bokstav og et tall, eller “Passord1!” hvis et symbol også er kreves. ”

Burr er også blant dem som har skrevet de nye retningslinjene. La oss håpe om 15 år at han ikke snur seg og angrer på alt igjen.