Стоит ли ограничивать допустимые символы в пароле?

Question

[GeraZlo]

Стоит ли ограничивать диапазон допустимых unicode символов в пароле, возможны ли какие либо подводные камни, если позволить пользователю вводить любые символы, в т.ч. emoji?

Comments

[Алексей]

Хороший вопрос.
Если есть процедура восстановления (смены) пароля, то можно попробовать.
Иначе есть шанс что пользователь сменит систему на такую, где не будет этих эмоджи.
Или забудет выражение лица в смайлике.

Answer 1

[Владимир Дубровин]

Смотря где и как вы эти пароли будете использовать. Например, встроенная авторизация HTTP и SMTP не имеет возможности передать кодировку символа, и в ней в принципе не рекомендуется использовать не-ASCII символы. В IMAP используется UTF-7 в котором могут быть проблемы с передачей emoji. В SSH тоже могут быть проблемы с передачей не-ASCII символов в зависимости от типа терминала. Mac не дает вводить кириллические пароли в паролях очень много где, например для WiFi.

Что касается веб - ну представьте, пользователь зарегистрирует пароль с emoji а потом попытается с этим паролем войти через мобильный телефон, где просто не будет возможности его ввести.

Answer 2

[Макс]

больше набор символов - менее реально забрутфорсить.

Comments

[Sanes]

От брутфорса есть другие способы защиты.

[Макс]

Sanes: есть. Но увеличение сложности набора символов - тоже один из них

[Sanes]

Макс: Допускать брутфорс это вообще плохая идея.

[Макс]

Sanes: сложно с этим поспорить.