Почему ограничивают длину пароля?

Наиболее распространенная причина этого состоит в том, потому что фронтенд intgrates с некоторой старой унаследованной системой, которая не обрабатывает больше, чем данное количество символов.

Кажется особенно глупым, учитывая, что любая половина достойного веб-сайта не хранит незашифрованные пароли в их базе данных, они хранят односторонний хэш того пароля (который всегда будет длиной набора в зависимости от используемого алгоритма, например, sha1 является обзором на 160 битов), и затем перехешируйте тот пароль на входе в систему, чтобы удостовериться, что недавно хешированный пароль соответствует сохраненному.

Кроме для frontend разрабатывают эстетику - я соглашаюсь, не имеет никакого смысла осуществлять максимальную длину пароля. Минимальная длина совершенно отличается хотя по очевидным причинам.

Ограничение длины происходит, вероятно, из-за беспокойства пространства памяти, но это могла бы быть действительно плохая мера антисценариев. Я был бы намного более уверен, если бы мой банк сказал мне, что мой пароль был слишком короток, а не слишком долго. Каждый раз, когда мне говорят, что мой пароль является слишком короткими, или "специальными" символами, не позволяются, я думаю, "О, они, должно быть, не нашли, что мой пароль в их словаре... закрывает лицо рукой".

Любые символы должны быть позволены. Пароли должны поощряться, не препятствоваться. Их намного легче помнить, чем загадочные пароли и намного тяжелее расколоться, так как они не будут в справочной таблице.

У некоторых (плохо разработанный) веб-сайты есть максимальные длины пароля по простой причине: это - все пространство, которое они имеют в их базе данных для хранения пароля. Существует хороший шанс, они не хешируют его или обрабатывают его вообще, означая, что он хранится в простом тексте. Веб-сайты как этот я использую одно использование, одноразовые пароли в течение каждого раза. Это - плохой дизайн, и неудачно, что люди все еще используют его.

Могло случиться так, что алгоритм, который они используют для шифрования, не работает хорошо с большими паролями или что они только ограничили устройство хранения данных для хранения его. Оба - очень плохие причины, я знаю, но это возможно.

Если бы я должен был сделать правила установки пароля, то это только были бы вещи защитить пользователей, как то, чтобы вынуждать их использовать по крайней мере один специальный символ и число или смешивание нижнего регистра и верхнего регистра.

Нечувствительные к регистру 10 символьных алфавитно-цифровых паролей имеют 839,299,365,868,340,224 возможных перестановки. Это собирается взять несколько ледниковых периодов к грубой силе это предположение, что это может проверить 1 миллион в секунду. Это достаточно безопасно для меня.

"Лучшая" причина состоит, вероятно в том, таким образом, можно помнить пароль.

Это могло быть, потому что они хранят Ваш пароль как простой текст и пытаются оставить свободное место, но это могло бы также быть должно попытаться остановить людей, делающих их пароли действительно долго и затем забывающих их, что означает, что компания должна послать электронное письмо с Вашим паролем, который является чем-то вроде стычки.

Единственная возможная причина для ограничения пароля тем способом состояла бы в том, чтобы упростить таблицу базы данных, и это - плохая причина. Долго, сложные пароли должны быть позволены!

Futhermore, сайт не должен хранить пароль вообще, а скорее хранить хеш crypto. Так как хеш является фиксированным размером, который делает базу данных очень простой и требования устройства хранения данных маленький.