NIST-advies , >64 tekens

[Vaudtje]

Artikel: nieuws: NIST-advies: schrap complexe wachtwoorden en verplichte regelmatige w...
Auteur: @JaspB

NIST adviseert dat wachtwoorden minimaal acht tekens lang moeten zijn en maximaal vierenzestig tekens

NIST adviseert dan het maximum aantal toegestane tekens minimaal 64 is volgens SecurityBoulevard. Wat ik in de NIST tekst zelf zag is dat ze aanraden om geen beperking te hebben, behalve misschien geen megabytes omwille van systeem stabiliteit.

[JaspB]

Oh, heb ik dit dan verkeerd begrepen? "Verifiers and CSPs SHOULD permit a maximum password length of at least 64 characters." Bij 3.1.1.2: https://pages.nist.gov/800-63-4/sp800-63b.html#passwordver

Wat jij aangeeft, zie ik ook staan in die tekst: "Users should be encouraged to make their passwords as long as they want within reason. Since the size of a hashed password is independent of its length, there is no reason to prohibit the use of lengthy passwords (or passphrases) if the user wishes. However, extremely long passwords (perhaps megabytes long) could require excessive processing time to hash, so it is reasonable to have some limit."
Bij A.2 https://pages.nist.gov/800-63-4/sp800-63b.html#length

[Flamesz]

"Verifiers and CSPs SHOULD permit a maximum password length of at least 64 characters."

Het "maximum moet minstens 64 zijn". is hoe @Vaudtje dat leest, en dat lijkt mij ook wat er mee bedoeld is.
Dat is dus wezenlijk anders dan "het maximum moet 64 zijn" .
Crux zit denk ik in de 'at least' in je citaat.

[Vaudtje]

"zou op zijn minst tot lengte 64 moeten toestaan"

[ Voor 32% gewijzigd door Vaudtje op 01-10-2025 15:06 ]