Как создавать надёжные пароли: полное руководство

Большинство людей используют один и тот же пароль на десятках сайтов. Злоумышленники знают об этом и активно этим пользуются. Одна утечка базы данных может открыть доступ к вашей почте, банковскому счету и профилям в соцсетях одновременно. Хорошая новость в том, что создавать надёжные пароли проще, чем кажется. Главное — понять, что именно делает пароль по-настоящему сильным.

Почему длина важнее сложности

Много лет сайты заставляли пользователей добавлять в пароль символ, цифру и заглавную букву. В результате получались конструкции вроде P@ssw0rd1. На вид они сложные, но по факту небезопасные. Современные программы для взлома паролей проверяют именно такие замены в первую очередь. Длина — вот что реально замедляет атакующего.

Рекомендации NIST, изложенные в документе SP 800-63B, кардинально изменили подход к политикам паролей в США и за их пределами. Вместо обязательной сложности NIST советует делать пароли длиннее и проверять их по спискам уже скомпрометированных комбинаций. Каждый дополнительный символ увеличивает количество вариантов, которые нужно перебрать злоумышленнику, в разы. Двенадцать символов — уже неплохо, но сегодня практический минимум составляет шестнадцать. Двадцать символов означают, что даже суперкомпьютеру понадобятся века на полный перебор.

Если вам нужен пароль, который одновременно длинный и по-настоящему случайный, попробуйте наш Генератор паролей. Он позволяет задать нужную длину, включить или отключить символы, а также исключить неоднозначные знаки вроде нуля и заглавной буквы O.

Парольные фразы vs пароли

Парольная фраза — это последовательность случайных слов вместо набора хаотичных символов. Вместо Tr0ub4dor&3 вы получаете что-то вроде correct horse battery staple. Такая фраза длиннее, проще набирать и гораздо легче запоминается.

Метод Diceware — один из самых надёжных способов создать парольную фразу. Вы бросаете физические кубики и выбираете слова по пронумерованному списку из 7776 распространённых английских слов. Пять слов, подобранных таким образом, дают примерно 64 бита энтропии, чего вполне достаточно. Шесть слов поднимают планку выше 77 бит. Чтобы усилить фразу ещё больше, вставьте случайное число или спецсимвол между двумя словами. Например: banana-7-cloudy-hotel-piano.

Избегайте известных цитат, текстов песен или любых фраз из книг. Злоумышленники собирают словари из миллионов распространённых выражений и проверяют их за секунды. Настоящая случайность — ключ к безопасности. Генератор паролей Randify умеет создавать и парольные фразы, если вам нужны читаемые слова вместо набора случайных символов.

Менеджеры паролей

Никто не способен запомнить уникальный двадцатисимвольный пароль для каждого сайта. Именно здесь на помощь приходят менеджеры паролей. Они генерируют, хранят и автоматически подставляют ваши данные, так что вам не приходится держать всё в голове.

Вам нужно запомнить только один сильный мастер-пароль. Всё остальное менеджер берёт на себя. Уважаемые решения шифруют ваше хранилище локально, прежде чем синхронизировать его с облаком. Это означает, что даже компания-разработчик не может прочитать ваши пароли.

Если менеджер паролей кажется сложным, начните с малого. Перенесите в него самые важные аккаунты: почту, интернет-банк и основные соцсети. Как только вы почувствуете, насколько удобна автоподстановка, захотите перенести всё остальное. Никогда не храните пароли в текстовых файлах, таблицах Excel или закладках браузера. Это первое место, к которому приступают злоумышленники, получив доступ к компьютеру.

В России доступны такие надёжные варианты, как Bitwarden и KeePassXC. Оба работают на русском языке и не требуют оплаты за базовый функционал. Для начала этого более чем достаточно.

Двухфакторная аутентификация

Надёжный пароль — это первая линия обороны, но никогда не должна быть единственной. Двухфакторная аутентификация добавляет вторую проверку после ввода пароля. Даже если кто-то украдёт ваши данные, он всё равно не сможет войти без второго фактора.

Лучший вариант 2FA — приложение-аутентификатор или аппаратный ключ безопасности. Они генерируют одноразовые коды, меняющиеся каждые 30 секунд, либо подтверждают личность криптографически. SMS-коды лучше, чем ничего, но уязвимы для атак подмены SIM-карты, когда преступник убеждает оператора связи перенести ваш номер на его устройство.

Включайте двухфакторную аутентификацию везде, где это возможно, особенно для почты. Ваш ящик — это мастер-ключ ко всем остальным аккаунтам. Если злоумышленник сбросит пароль от банка, ссылка на сброс придёт именно туда. Защитите почту в первую очередь.

В России большинство крупных сервисов уже поддерживают 2FA: Яндекс, VK, Сбербанк Онлайн, Тинькофф и многие другие. Не откладывайте включение этой функции.

Практический чеклист

Используйте этот список каждый раз, когда создаёте или обновляете пароль:

• Старайтесь к шестнадцати символам и больше. Чем длиннее, тем лучше.
• Используйте парольные фразы или полностью случайные строки. Избегайте словарных слов в естественном порядке.
• Каждый пароль должен быть уникальным. Никогда не используйте один пароль на двух сайтах.
• Включайте двухфакторную аутентификацию везде. Предпочитайте приложения и аппаратные ключи SMS.
• Пользуйтесь менеджером паролей. Пусть он генерирует и надёжно хранит ваши данные.
• Проверяйте, не утекли ли ваши аккаунты. Сервисы вроде Have I Been Pwned покажут, появлялся ли ваш адрес в известных утечках.
• Не используйте личную информацию. Даты рождения, клички питомцев и любимые футбольные клубы легко угадать или найти в соцсетях.
• Меняйте пароль после утечки. Если сервис сообщил о взломе, смените пароль немедленно.

Если вы разработчик или просто интересуетесь безопасностью, полезно понимать, как пароли хранятся на стороне сервера. Большинство сайтов не держат пароли в открытом виде. Они пропускают их через одностороннюю хеш-функцию и получают фиксированный дайджест фиксированной длины. Генератор хешей Randify позволяет поэкспериментировать с распространёнными алгоритмами и увидеть, как крошечное изменение входных данных создаёт совершенно другой результат.

Безопасность паролей — это не паранойя. Это математика. Более длинный, уникальный, случайно сгенерированный пароль — один из самых дешёвых и эффективных способов защитить свою цифровую жизнь. Начните с одного аккаунта сегодня. А потом выработайте привычку.