Hasła - wartości testowe

połowa 1 z 2 Dwa hasła różniące się po 72. bajcie

Co psuje

Krok 1 testu 72 bajtów: załóż nowe konto z tym hasłem o długości 73 bajtów. Nowsze biblioteki, takie jak Go x/crypto, Spring Security i bcrypt 5 dla Pythona, odmawiają go, a aplikacja, która tego nie obsłuży, pokazuje stronę błędu już tutaj.

Co robi poprawna aplikacja

Konto założone albo odmowa z komunikatem, który podaje limit długości.

połowa 2 z 2 Dwa hasła różniące się po 72. bajcie

Co psuje

Krok 2: zaloguj się do konta z kroku 1 tym hasłem, które różni się tylko 73. bajtem. Hash bcrypt, który czyta tylko pierwsze 72 bajty, jak w PHP, BCrypt.Net, jBCrypt, bcryptjs i pgcrypto, nie odróżni tych dwóch haseł.

Co robi poprawna aplikacja

Logowanie odrzucone, bo to nie jest hasło, z którym konto założono.

połowa 1 z 2 Dwa polskie hasła różniące się po 72. bajcie

Co psuje

Krok 1 tego samego testu po polsku: 37 znaków, czyli mniej niż każdy limit liczony w znakach, i 73 bajty w UTF-8, bo każde ł zajmuje dwa bajty.

Co robi poprawna aplikacja

Konto założone.

połowa 2 z 2 Dwa polskie hasła różniące się po 72. bajcie

Co psuje

Krok 2: zaloguj się tym hasłem, które różni się tylko ostatnim znakiem. Limit 64 albo 72 znaków nie powstrzyma hasha, który czyta 72 bajty, przed ucięciem hasła.

Co robi poprawna aplikacja

Logowanie odrzucone.

połowa 1 z 2 Hasło ze spacją na końcu i bez niej

Co psuje

Krok 1 testu przycinania: załóż konto z hasłem, które kończy się spacją. Warstwa, która przycina dane, zapisze hasło bez niej.

Co robi poprawna aplikacja

Konto założone, a spacja została częścią hasła.

połowa 2 z 2 Hasło ze spacją na końcu i bez niej

Co psuje

Krok 2: zaloguj się hasłem z kroku 1 bez końcowej spacji, potem jeszcze raz ze spacją. Rejestracja i logowanie, które przycinają inaczej, wpuszczą tylko jednym z nich.

Co robi poprawna aplikacja

Konto otwiera tylko hasło ze spacją albo oba, bo obie strony przycinają.

połowa 1 z 2 Postać złożona i rozłożona tego samego hasła

Co psuje

Krok 1 testu normalizacji: załóż konto z hasłem, w którym polskie litery są pojedynczymi znakami, czyli w postaci, jaką wpisuje klawiatura.

Co robi poprawna aplikacja

Konto założone.

połowa 2 z 2 Postać złożona i rozłożona tego samego hasła

Co psuje

Krok 2: zaloguj się tym samym słowem zapisanym jako litery podstawowe z akcentami łączonymi. Wygląda identycznie, a biblioteki haszujące biorą bajty tak, jak są, więc wpuści tylko aplikacja, która normalizuje hasło.

Co robi poprawna aplikacja

Logowanie udane, bo hasło jest normalizowane do NFC przed haszowaniem.

Co psuje

Spełnia minimalną długość 8, 12 albo 15 znaków i nie zawiera niczego, co da się zapamiętać. Warstwa, która przycina dane, robi z niego puste hasło.

Co robi poprawna aplikacja

Odmowa z podanym powodem albo przyjęte i zachowane dokładnie, nigdy przycięte do pustego hasła.

Co psuje

Cztery znaki, które String.length w JavaScripcie, .NET i Javie liczy jako osiem, bo każdy zajmuje dwie jednostki UTF-16, podczas gdy Python, PostgreSQL i NIST SP 800-63B liczą cztery. Strona i serwer napisane w różnych językach nie zgadzają się co do minimalnej długości.

Co robi poprawna aplikacja

Policzone jako cztery znaki na stronie i na serwerze oraz przyjęte albo odrzucone tak samo po obu stronach.

Co psuje

NIST SP 800-63B zaleca przyjmowanie co najmniej 64 znaków i spacji, a formularz z maxlength 20 albo 32 albo z zakazem spacji odrzuca frazę, jaką użytkownikom radzi się wybierać.

Co robi poprawna aplikacja

Przyjęta w całości, a ta sama fraza otwiera potem konto.

Co psuje

Ma wielką literę, cyfrę i symbol, więc przechodzi zwykłe reguły złożoności, a w liście wyciekłych haseł Pwned Passwords występuje ponad 500 000 razy.

Co robi poprawna aplikacja

Odrzucone jako popularne albo wyciekłe hasło, z podanym powodem.

Co psuje

Wzór z klawiatury z wielką literą, cyframi i symbolem: przechodzi reguły złożoności, a w liście Pwned Passwords występuje ponad 150 000 razy.

Co robi poprawna aplikacja

Odrzucone jako popularne albo wyciekłe hasło, z podanym powodem.

Co psuje

Rejestracja przyjmuje 100 znaków, a pole logowania ma mniejsze maxlength, często 64, więc przeglądarka po cichu odrzuca resztę i użytkownik nigdy się nie zaloguje.

Co robi poprawna aplikacja

To samo hasło działa w formularzu rejestracji, logowania i zmiany hasła albo wszystkie trzy odrzucają je z tym samym podanym limitem.

Co psuje

NIST SP 800-63B zaleca przyjmowanie znaków Unicode. Reguła, która dopuszcza tylko ASCII, odrzuca hasło, albo rejestracja je przyjmuje, a starsza warstwa w kodowaniu jednobajtowym zapisuje coś innego.

Co robi poprawna aplikacja

Przyjęte, a to samo hasło otwiera potem konto.

Co psuje

Walidacja żądań w ASP.NET na .NET Framework odrzuca wartość formularza ze znakiem mniejszości przed literą, więc poprawne hasło kończy się na stronie błędu.

Co robi poprawna aplikacja

Przyjęte jak każdy inny drukowalny znak ASCII.

Co psuje

W treści formularza plus znaczy spację, a %41 literę A. Klient, który składa treść ręcznie bez kodowania, wysyła Pa ssA-42, więc strona i ten klient zapisują różne hasła.

Co robi poprawna aplikacja

Zapisane i sprawdzane dokładnie tak, jak wpisane, w każdym kliencie.