Парольная фраза¶

Парольная фраза — это последовательность слов, символов или иных знаков, используемая для аутентификации пользователя в информационной системе, доступа к данным или подтверждения личности. В отличие от традиционного пароля, состоящего из короткой комбинации символов, парольная фраза представляет собой более длинную и осмысленную строку, часто включающую несколько слов, пробелы и знаки препинания. Основное назначение парольной фразы — обеспечение высокой криптостойкости при сохранении удобства запоминания для человека.

¶История возникновения

Концепция парольных фраз возникла как ответ на проблему безопасности коротких паролей. В 1980-х годах, с развитием компьютерных сетей и систем шифрования, стало очевидно, что стандартные пароли длиной 6–8 символов легко поддаются атакам перебором (брутфорс) и словарным атакам. В 1984 году специалист по компьютерной безопасности Роберт Моррис-младший (сын соавтора первого учебника по криптографии) опубликовал статью, в которой проанализировал уязвимости паролей в Unix-системах. Это стимулировало поиск альтернатив.

В 1990-х годах, с распространением алгоритмов шифрования PGP (Pretty Good Privacy) и GPG (GNU Privacy Guard), парольные фразы стали использоваться для защиты закрытых ключей. Разработчики рекомендовали использовать длинные, легко запоминающиеся фразы вместо коротких паролей, чтобы повысить устойчивость к атакам. В 2000-х годах идея получила широкое распространение в веб-сервисах, банковских системах и корпоративных сетях, особенно в контексте двухфакторной аутентификации и менеджеров паролей.

¶Отличия от пароля

Парольная фраза принципиально отличается от пароля по нескольким параметрам:

Длина: Пароль обычно состоит из 8–16 символов, парольная фраза — от 20 до 100 и более символов (включая пробелы).
Структура: Пароль часто представляет собой случайный набор символов (буквы, цифры, спецсимволы), тогда как парольная фраза состоит из осмысленных слов, объединённых в предложение или фразу.
Запоминаемость: Пароль сложно запомнить, особенно если он генерируется случайно. Парольную фразу легче удержать в памяти благодаря её семантической связности.
Криптостойкость: Длинная парольная фраза значительно сложнее для подбора методом перебора, чем короткий пароль. Энтропия (мера неопределённости) парольной фразы растёт с увеличением длины и количества слов.

¶Принцип работы и энтропия

Безопасность парольной фразы оценивается через энтропию, измеряемую в битах. Для случайной последовательности символов энтропия рассчитывается как log2(N^L), где N — количество возможных символов, L — длина. Для парольной фразы, состоящей из слов, энтропия вычисляется на основе размера словаря: log2(W^K), где W — количество слов в словаре, K — количество слов во фразе.

Например, если использовать словарь из 7776 слов (как в системе Diceware) и выбрать 4 случайных слова, энтропия составит примерно log2(7776^4) ≈ 51,7 бит. Это эквивалентно случайному паролю из 8–9 символов, включающих буквы, цифры и спецсимволы. При добавлении 5-го слова энтропия возрастает до 64,6 бит, что делает атаку перебором практически невозможной при современных вычислительных мощностях.

¶Классификация парольных фраз

Парольные фразы можно классифицировать по способу формирования и назначению:

¶По способу генерации

Случайные (генераторные): Создаются автоматически с использованием заранее определённого словаря (например, Diceware, XKCD-метод). Пример: «правильный батарейка лошадь скоба» (известный комикс XKCD №936).
Осмысленные (пользовательские): Придумываются человеком на основе личных ассоциаций, цитат, стихов или фраз. Пример: «Волга впадает в Каспийское море!» (с добавлением знаков препинания и пробелов).
Гибридные: Комбинация случайных слов и пользовательских элементов (например, добавление цифр или спецсимволов между словами).

¶По назначению

Для шифрования: Используются в криптографических системах (PGP, GPG, VeraCrypt) для защиты ключей и контейнеров.
Для аутентификации: Применяются для входа в учётные записи (электронная почта, социальные сети, банкинг).
Для восстановления доступа: Используются в качестве секретных вопросов или контрольных фраз (например, seed-фразы в криптовалютных кошельках).

¶Преимущества и недостатки

¶Преимущества

Высокая криптостойкость: Длинные фразы устойчивы к атакам перебором и словарным атакам.
Лёгкость запоминания: Осмысленные фразы или случайные комбинации слов запоминаются проще, чем хаотичный набор символов.
Устойчивость к социальной инженерии: При правильном выборе фразы (без личной информации) её сложнее угадать.
Совместимость: Большинство современных систем поддерживают длинные строки, включая пробелы и знаки препинания.

¶Недостатки

Уязвимость к атакам по словарю: Если фраза состоит из распространённых слов или цитат, злоумышленник может использовать специализированные словари.
Сложность ввода на мобильных устройствах: Длинные фразы неудобно набирать на сенсорных клавиатурах.
Ограничения в некоторых системах: Некоторые веб-сервисы и программы ограничивают длину пароля (например, до 20 символов) или запрещают пробелы.
Риск утечки при повторном использовании: Использование одной и той же фразы на нескольких сайтах увеличивает риск компрометации.

¶Рекомендации по созданию

Специалисты по информационной безопасности (включая рекомендации Национального института стандартов и технологий США — NIST) советуют:

Использовать не менее 4–5 случайных слов из большого словаря (от 5000 слов).
Избегать личной информации (имена, даты, адреса) и распространённых цитат.
Добавлять разделители (пробелы, дефисы, знаки препинания) для увеличения энтропии.
Не использовать одну и ту же фразу для разных систем.
Применять менеджеры паролей для хранения и генерации фраз.

¶Примеры

Слабая парольная фраза: «Я люблю свою кошку Мурку» (легко угадывается, содержит личную информацию).
Сильная парольная фраза (метод Diceware): «абрикос громкость шарнир фонарик» (случайные слова, высокая энтропия).
Гибридная фраза: «Купил_3_килограмма_яблок!» (осмысленная, но с добавлением цифр и спецсимволов).

¶Применение в России

В Российской Федерации парольные фразы используются в государственных информационных системах (например, на портале «Госуслуги»), в банковских приложениях (Сбербанк, ВТБ) и в корпоративных сетях. Требования к длине и сложности паролей регулируются Федеральным законом № 152-ФЗ «О персональных данных» и методическими документами ФСТЭК России, которые рекомендуют использовать длинные пароли (не менее 12–14 символов) или парольные фразы. В криптовалютной среде seed-фразы (обычно 12 или 24 слова) используются для восстановления доступа к кошелькам, что также является разновидностью парольной фразы.

¶Источники

Morris, R., & Thompson, K. (1979). «Password Security: A Case History». Communications of the ACM.
NIST Special Publication 800-63B (2017). «Digital Identity Guidelines: Authentication and Lifecycle Management».
Diceware Passphrase Home Page (Arnold G. Reinhold).
XKCD Comic №936 (Randall Munroe, 2011).
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
Методические документы ФСТЭК России: «Меры защиты информации в государственных информационных системах».