Надёжный пароль: принципы создания¶
Надёжный пароль — это строка аутентификации, которая с высокой вероятностью не может быть подобрана автоматически или восстановлена злоумышленником с помощью перебора, словарных атак или утечек баз данных. Качество пароля определяется энтропией (мерой непредсказуемости), длиной и устойчивостью к целенаправленным атакам, а не к отдельным устаревшим правилам вроде «содержать заглавную букву и спецсимвол».
¶Основные угрозы
Понимание того, как пароли взламывают, определяет подход к их созданию.
¶Словарные и переборные атаки
Злоумышленник перебирает комбинации букв, цифр и символов с помощью программ (так называемый брутфорс). Скорость перебора зависит от вычислительной мощности: графические процессоры способны проверять миллиарды вариантов в секунду. Короткие пароли (до 8 символов) подбираются за минуты.
¶Атаки по словарю
Вместо полного перебора используется список распространённых паролей и слов из словаря. Исследования утечек показывают, что наиболее частые пароли — password, 123456, qwerty, iloveyou — взламываются мгновенно. Даже замена a на @ или o на 0 в таких словах не спасает: эти подмены заложены в современные словари атакующих.
¶Утечки баз данных
Пароли хранятся на серверах сайтов в виде хеш-функций. При утечке базы злоумышленник получает хеши и может подбирать к ним пароли офлайн, не ограничиваясь защитой сайта. Если пользователь переиспользует один пароль на нескольких сервисах, компрометация одного из них открывает доступ ко всем остальным.
¶Правила создания надёжного пароля
¶Длина важнее сложности
Главный фактор устойчивости — количество символов. Энтропия пароля примерно равна длине в битах, умноженной на логарифм размера алфавита. Пароль из 16 случайных символов из алфавита из 62 знаков даёт около 95 бит энтропии, что делает перебор практически невозможным при современных технологиях. Правила вида «минимум 8 символов, обязательно цифра и спецсимвол» формально выполняются паролем Password1!, который остаётся слабым.
¶Случайность и непредсказуемость
Надёжный пароль должен быть случайной последовательностью, а не словом или фразой, имеющей личное значение. Имена, даты рождения, названия любимых команд и подобные элементы подбираются первой же веткой атаки по словарю с учётом открытых данных о пользователе.
¶Фразы-пароли
Популярный компромиссный метод — длинная фраза из нескольких случайных слов, соединённых пробелами или символами: корова-бензопила-7-луна-мост. Даже из четырёх слов русского словаря такая комбинация даёт достаточную энтропию, а запоминается легче, чем случайные символы. Метод рекомендован в публикациях Национального института стандартов и технологий США (NIST) в качестве альтернативы сложным коротким паролям.
¶Уникальность для каждого сервиса
Каждый сайт должен иметь собственный пароль. Это ограничивает последствия утечки: скомпрометированный сервис не даёт доступа к остальным аккаунтам. Практически это невозможно без менеджера паролей.
¶Инструменты управления паролями
¶Менеджеры паролей
Программы вроде KeePass, Bitwarden, 1Password хранят все пароли в зашифрованной базе, защищённой одним мастер-паролем. Менеджер генерирует уникальные случайные пароли для каждого сервиса и автоматически подставляет их. Открытый исходный код KeePass позволяет независимо проверить отсутствие закладок.
¶Двухфакторная аутентификация
Даже идеальный пароль не защищает при утечке базы сайта. Двухфакторная аутентификация (2FA) добавляет второй фактор — код из приложения-аутентификатора, ключ в аппаратном токене или одноразовый пароль по SMS. Стандарт FIDO2/WebAuthn позволяет заменить пароль полностью аппаратным ключом безопасности (например, YubiKey), что на практике исключает фишинг.
¶Чего следует избегать
- Использование коротких паролей (менее 12 символов).
- Переиспользование паролей между сервисами.
- Запись паролей на видных местах или в незашифрованных файлах.
- Частая смена пароля по расписанию без компрометации — исследования показывают, что это вынуждает пользователей делать тривиальные вариации (
Password2023!,Password2024!). - Отказ от двухфакторной аутентификации там, где она доступна.
¶Рекомендации организаций
Национальный институт стандартов и технологий США в публикации SP 800-63B (2017, редакция 2020) рекомендует: минимальная длина пароля — 8 символов, для высокого уровня доверия — не менее 64; запрет на обязательную периодическую смену без причины; запрет на составные правила вида «минимум одна цифра и спецсимвол»; проверка паролей по спискам скомпрометированных. Российский ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций» предъявляет требования к сложности паролей для банковских систем, включая минимальную длину и запрет на использование словарных слов.
Источники:
- NIST Special Publication 800-63B: Digital Identity Guidelines
- ГОСТ Р 57580.1-2017 «Безопасность финансовых (банковских) операций»
- KeePass Password Safe — официальная документация
- Стандарт FIDO2 / WebAuthn (FIDO Alliance)
- Материалы исследований утечек паролей (HIBP — Have I Been Pwned)