Большинство советов о паролях делают их труднее для запоминания, но почти не усложняют взлом. Здесь коротко о том, что действительно работает: как взламывают пароли, почему несколько случайных слов надёжнее мешанины символов и какие привычки защитят вас, даже если взломают сайт, которым вы пользуетесь.
Как взламывают пароли
Никто не сидит и не подбирает пароль вручную. При взломе сайта злоумышленники часто уносят базу паролей, а точнее их хеши: необратимые «отпечатки», которые сайт хранит вместо самих паролей. Дальше догадки проверяют на своём оборудовании так быстро, как оно позволяет, и никакой лимит попыток этому не мешает.
Начинают не со случайных строк. Сначала идут настоящие пароли из прошлых утечек (123456, qwerty, password1), затем те же списки с предсказуемыми изменениями: заглавная первая буква, @ вместо a, год или ! в конце. Moskva_2007! выглядит сложным, но стоит в самом начале таких списков.
Проверка на главной странице оценивает именно такую атаку: украденная база, быстрые хеши и около десяти миллиардов попыток в секунду. Она работает прямо в браузере и никуда ничего не отправляет. И всё же вводите похожий пароль, а не настоящий.
Длина важнее символов
Каждый лишний символ умножает число возможных паролей. У случайного пароля из 8 символов, где задействованы все знаки клавиатуры, около 6,6 квадриллиона вариантов. При десяти миллиардах попыток в секунду это примерно неделя работы, а с несколькими видеокартами гораздо меньше.
Если символов 12, той же атаке понадобится больше миллиона лет. Один спецсимвол в коротком пароле помогает немного. Длина помогает несравнимо сильнее, и её легко запомнить, если она состоит из слов.
Пароль из случайных слов
Парольная фраза — это несколько не связанных между собой слов, например yabloko-kniga-reka-zvezda-gora. Пять слов, случайно выбранных из списка в 7776 слов (классический метод Diceware), дают примерно столько же вариантов, сколько случайный пароль из 10 символов. А запомнить их легко: достаточно представить одну нелепую картинку.
Главное здесь слово «случайных». Строчка из песни, пословица, ваша улица и год рождения давно есть в словарях злоумышленников. Пусть слова выбирают игральные кости или генератор паролей, а не память. Для самых важных аккаунтов, то есть почты и менеджера паролей, берите пять-шесть слов.
Один аккаунт — один пароль
Один пароль на всё — самая частая причина, по которой обычные люди теряют аккаунты. Когда утекает один сайт, пары «почта и пароль» загружают в скрипты, которые пробуют их в почте, банках, соцсетях и интернет-магазинах. Такая атака называется credential stuffing, или подстановка учётных данных.
Если у каждого аккаунта свой пароль, одна утечка так и останется одной утечкой. Сотню разных паролей не запомнит никто, и не нужно: это работа менеджера паролей. Bitwarden (открытый код, есть бесплатный тариф), 1Password, KeePassXC (работает без интернета) или встроенный менеджер телефона и браузера создают длинные случайные пароли и сами их подставляют. Вам остаётся помнить одну надёжную фразу.
Менеджер защищает и от фишинга: на поддельном сайте с чуть другим адресом он не подставит пароль от банка.
Двухфакторная защита и passkeys
Двухфакторная аутентификация требует что-то помимо пароля, поэтому одного украденного пароля мало. Вместо SMS выбирайте приложение-аутентификатор: Google Authenticator, Microsoft Authenticator, Aegis или встроенное в менеджер паролей. Код из SMS могут перехватить, если мошенники уговорят оператора перевыпустить вашу SIM-карту.
Ещё лучше ключи доступа (passkeys), их уже поддерживают Google, Apple, Microsoft и многие другие сервисы. Ключ хранится на устройстве, открывается отпечатком пальца, лицом или PIN-кодом и работает только на настоящем сайте, поэтому выманить его фишингом нельзя.
В Telegram включите облачный пароль: Настройки → Конфиденциальность → Облачный пароль. Тогда одного украденного кода для входа будет недостаточно.
Не утёк ли ваш пароль?
Have I Been Pwned (откроется в новой вкладке) показывает, в каких известных утечках есть ваш адрес почты. Сервис Pwned Passwords проверяет пароль, вообще его не видя: устройство вычисляет SHA-1-хеш пароля и отправляет только первые пять символов хеша. В ответ приходят все утёкшие хеши с таким началом, а сравнение происходит на вашей стороне. Тот же приём используют менеджеры паролей и браузеры, когда предупреждают об утечках.
Если пароль нашёлся, смените его везде, где он использовался, и начните с почты.
Что говорят стандарты сейчас
NIST, американский институт стандартов, на рекомендации которого ориентируются многие компании, в актуальной редакции SP 800-63B отказался от нескольких старых правил. Сервисы не должны заставлять менять пароль по расписанию, только при признаках взлома. Не должны требовать обязательной смеси заглавных букв, цифр и символов. Вместо этого им следует разрешать длинные пароли и вставку из буфера обмена, блокировать пароли из утечек и популярных списков и требовать не меньше 15 символов, если пароль — единственная защита аккаунта.
Если сайт всё ещё требует «хотя бы один символ и одну цифру», длинная фраза с символом между словами и цифрой в конце этому требованию удовлетворит.
Короткий чек-лист
- Для каждого аккаунта свой пароль, и все они хранятся в менеджере паролей.
- Почту и сам менеджер защищают пять-шесть случайных слов.
- Двухфакторная защита везде, где её предлагают, по возможности через приложение или passkey, а не SMS.
- Проверьте свою почту на Have I Been Pwned и замените утёкшие и повторяющиеся пароли.
- Никогда не вводите настоящий пароль на сайте, которому он не принадлежит, в том числе в проверках вроде моей.
