Вышли новые рекомендации по использованию паролей от национального института стандартов и технологии. В общем-то, многие вещи и так относительно очевидны, но зафиксируем:

- Заставлять юзеров в каждом пароле использовать 1 специальный символ, 1 букву, 1 цифру, 2 прихлопа, 3 притопа особенного смысла не имеет. Куда важнее длина пароля

- Минимальная длина должна быть 8 символов, но лучше хотя бы 15. Использование пасс-фраз весьма рекомендуется

- Заставлять менять пароли каждый день - тоже плохая идея. Это может, наоборот, приводить к тому, что пароли будут становиться менее надёжными (до известных пределов) и юзеры будут делать минимально необходимые изменения, которые даже потенциально можно угадать

- Пароли необходимо хэшировать с использованием соли. Использовать алгоритмы медленного хэширования - тоже хорошая идея (мы про это говорили в одном из уроков)

- Предлагать пользователям ввести какой-нибудь контрольный вопрос - тоже не супер-хорошая идея, так как эти ответы можно получить путём социального инжиниринга. Хотя самые хитрые вводят совершенно не относящиеся к делу ответы, типа "Девичья фамилии матери?" - "Купи слона"

- Двухфакторная аутентификация - это хорошо

https://cybersecuritynews.com/nist-rules-password-security/