Логин и пароль¶
Логин — имя пользователя (учётная запись), служащее для идентификации человека или программы при входе в информационную систему; пароль — секретная строка символов, подтверждающая право на использование этой учётной записи. Вместе логин и пароль формируют основной способ аутентификации — процедуры проверки того, что запрашивающий доступ действительно является тем, за кого себя выдаёт. Пара «логин — пароль» применяется в операционных системах, веб-сайтах, корпоративных сетях, банкоматах, мобильных приложениях и большинстве информационных сервисов.
¶Происхождение терминов
Слово «логин» происходит от английского log in — «войти в систему». В 1960-х годах в Массачусетском технологическом институте для доступа к компьютерной системе CTSS использовалось имя пользователя, которое вводилось на специальном терминале. Термин «пароль» (англ. password) образован от слов pass («проходить») и word («слово») — дословно «слово для прохода». Исторически пароли использовались ещё в военном деле: часовые называли секретное слово, чтобы отличить своих от чужих.
¶Как работает аутентификация по логину и паролю
При попытке входа в систему пользователь вводит логин и пароль. Система сравнивает введённые данные с сохранёнными в базе учётных записей. Если пара совпадает, доступ разрешается, если нет — отказывается. Ключевой принцип безопасности: пароль должен храниться не в открытом виде, а в виде хеш-функции — одностороннего преобразования, которое легко вычислить, но практически невозможно обратить. Современные системы используют адаптивные алгоритмы хеширования, такие как bcrypt, scrypt или Argon2, а также соль — случайную последовательность, добавляемую к паролю перед хешированием для защиты от подбора по словарям.
¶Требования к паролям
Основные рекомендации по защите учётных записей:
- Длина. Минимально безопасной считается длина от 8–12 символов; для критичных систем рекомендуется 14 и более.
- Сложность. Пароль должен сочетать строчные и заглавные буквы, цифры и специальные символы, либо состоять из нескольких несвязанных слов (метод пассфразы).
- Уникальность. Использование одного пароля для нескольких сервисов многократно увеличивает риск: утечка на одном сайте приводит к компрометации аккаунтов на других.
- Срок действия. Ранее рекомендовалось менять пароли регулярно (например, раз в 90 дней), однако современные стандарты (NIST SP 800-63B) рекомендуют менять пароль только при подозрении на утечку.
¶Управление паролями
Для хранения множества сложных паролей используются менеджеры паролей — программы, которые шифруют хранилище мастер-паролем. К популярным менеджерам относятся KeePass (открытый исходный код), Bitwarden, 1Password, а также встроенные в браузеры и операционные системы средства. Менеджеры позволяют генерировать уникальные случайные пароли для каждого сервиса и автоматически подставлять их при входе.
¶Двухфакторная аутентификация
Пара «логин — пароль» относится к одному фактору аутентификации — «знанию». Для усиления защиты применяется двухфакторная аутентификация (2FA), при которой требуется второй фактор: что-то, чем пользователь обладает (смартфон, аппаратный ключ, смс-код) или биометрическая характеристика. Методы 2FA включают разовые коды по SMS, приложения-генераторы (Google Authenticator, Authy), аппаратные ключи по стандарту FIDO2/WebAuthn и push-уведомления.
¶Менеджеры учётных записей в организациях
В корпоративной среде управление учётными записями осуществляется через системы directory-сервисов: Microsoft Active Directory, LDAP, Kerberos. Централизованное управление позволяет администраторам назначать политики сложности паролей, блокировать учётные записи при подозрении на взлом, вести журнал входов и разграничивать доступ по ролям.
¶Альтернативы и развитие
Парольная аутентификация постепенно дополняется или заменяется другими методами. Пасскей (passkey) — стандарт FIDO2, использующий криптографическую пару ключей, хранящуюся на устройстве, — позволяет входить без пароля, по биометрии или PIN-коду устройства. Биометрия (отпечаток пальца, распознавание лица) применяется как дополнительный фактор. Тем не менее логин и пароль остаются наиболее распространённым способом аутентификации ввиду простоты реализации и совместимости.
¶Основные угрозы
К наиболее частым атакам на парольную аутентификацию относятся:
- Брутфорс — перебор всех возможных комбинаций символов.
- Словарная атака — перебор слов из словарей и списков утечек.
- Фишинг — поддельный сайт, имитирующий форму входа, для кражи введённых данных.
- Кейлоггеры — вредоносные программы, записывающие нажатия клавиш.
- Атаки посредника (MITM) — перехват данных при передаче по незащищённому каналу; защита — использование HTTPS/TLS.
¶История российских стандартов
В России требования к защите персональных данных при аутентификации регулируются Федеральным законом № 152-ФЗ «О персональных данных» и рекомендациями ФСТЭК. Государственные информационные системы обязаны применять средства криптографической защиты информации (СКЗИ), сертифицированные ФСБ, в том числе для хранения и передачи учётных данных. Стандарты ГОСТ Р и рекомендации ФСТЭК устанавливают требования к длине, сложности и срокам действия паролей в системах, обрабатывающих государственную тайну и персональные данные.
¶Источники
- NIST Special Publication 800-63B: Digital Identity Guidelines — Authentication and Lifecycle Management
- RFC 6151 — Updated Security Considerations for the MD5 Message-Digest and the HMAC-MD5 Algorithms
- Рекомендации ФСТЭК России по защите информации
- Федеральный закон РФ № 152-ФЗ «О персональных данных»