6.4.3. Спрощення входу в систему

При вході в більшість систем користувачі виконують більше роботи, чим це необхідно. Спочатку потрібно повідомити, хто ви, для чого ви указуєте свій "ідентифікатор", "онлайновое ім'я" чи "системне ім'я", і потім уводите свій пароль. Як передбачається, за допомогою імені ви повідомляєте системі про тім, хто ви, а пароль дозволяє запобігти несанкціонований доступ до вашого облікового запису.

Насправді ви двічі повідомляєте системі про тім, хто ви. По логіці речей усе, що від вас повинно вимагатися в цьому випадку, - набрати пароль. І це не знизить безпеку вашої системи. Імовірність угадування або імені і пароля залежить від вибору пароля, його довжини і т.д. Тоді як визначити або онлайновое ім'я можна задоволене просто. Насправді воно звичайно не ховається, щоб через нього можна було взаємодіяти з його власником. Погано підібраний пароль (наприклад,

використання як пароль клички вашого собаки) є самою частою причиною недостатньої безпеки.

Твердження, що введення двох різних ланцюжків символів збільшує надійність, помилково. Якщо онлайновое ім'я складається з j символів, а пароль - з k символів, то користувач для входу в систему повинний увести j+k символів, і тільки k символів з цієї суми є невідомими для потенційного порушника вашої безпеки. Якщо пароль був обраний випадковим образом (що є самим кращим методом) з набору в q символів, імовірність угадати обліковий запис користувача з першої спроби дорівнює 1/q^k.

Подовження пароля навіть на один символ і відмовлення від використання імені зменшують імовірність угадування пароля на величину q і рятують користувача від необхідності вводити зайві j-1 символів, до того ж у двох полях (замість одного). Забравши поле для імені і збільшивши мінімальну довжину пароля на один символ, ми одержуємо великий ступінь безпеки, використовуємо менше екранного простору і досягаємо більшої простоти використання. Ми не втрачаємо нічого. Для деяких програм має сенс використовувати менш банальні методи забезпечення безпеки (як, наприклад, використання "відбитків голосу" (voіceprіntіng) чи пальців, чи інших незмінних фізичних характеристик користувача), хоча в цьому випадку ви не зможете сказати своїй довіреній особі, як увійти під вашим обліковим записом.

Тут виникає наступний питання: як забезпечити унікальність символьних паролів? Як уникнути випадків, коли два чи більш користувачі виберуть однаковий пароль? Можна надати системі самої призначати паролі. Однак це приведе до того, що генерируемые системою паролі будуть запам'ятовува погано (як, наприклад, 2534-788834-003PR7 чи ty6*>fj'd%d).

Існує багато способів створення паролів, що запам'ятовуються, і ви завжди можете дати користувачу можливість вибору з п'яти чи шести таких способів. Наприклад, ви можете запропонувати комп'ютеру випадково вибрати два прикметники й один іменник з великого словника і надати вам такий список:

" ексклюзивний виродливий тюлень;

" смачний людиноподібний оракул;

" стара вільна папайя;

" квітучий маленький лабіринт;

" кепська репообразная історія.

з який користувач зможе сам вибрати найбільше йому варіант, що сподобався. В англійському словнику можливо біля двох трильйонів подібних комбінацій. Навіть пробуючи по мільйоні комбінацій у день, ви будете підбирати пароль більш 25 років. Така безпека достатня.

Коли пропонується ідея поліпшити інтерфейс веб-сайта чи комп'ютерної системи, спростивши процес входу запитом тільки пароля, вона звичайно відхиляється по одному чи двом підставам. Або програмісти говорять, що так робити не можна, або вони говорять, що в цьому випадку вони втрачають можливість контролювати процедуру входу. Проте , хтось інший, звичайно, усе-таки зберігає цей контроль.