Из чего складывается надёжный пароль: цифры и объяснения

Надёжный пароль длинный и случайный, и случайность должна задавать генератор, а не вы сами. Каждый случайный символ или слово умножает число попыток, которое понадобится злоумышленнику, поэтому длина даёт больше, чем уловки вроде замены букв на символы. Создавайте уникальный пароль для каждого аккаунта, храните его в менеджере паролей и никогда не используйте повторно.

Генератор паролейНужен надёжный парольСделать бесплатно

Почему хитрые приёмы не работают

Злоумышленники редко подбирают пароль к одному аккаунту вручную. Они прогоняют списки распространённых паролей и словарных слов через известные шаблоны, например @ вместо a, 0 вместо o и символ в конце. Такие варианты пробуют в первую очередь, потому что многие люди строят пароли по одним и тем же схемам. Пароль вроде P@ssw0rd! кажется сложным, но это один из первых вариантов, который перебирает список злоумышленника. Его внешняя сложность мало говорит о том, насколько трудно его угадать.

Энтропия простыми словами

Энтропия показывает, из какого количества равновероятных вариантов мог быть получен пароль, и выражается в битах. Каждый дополнительный бит удваивает число нужных попыток. Важно, что энтропия описывает процесс, которым был создан пароль, а не то, как пароль выглядит. Случайная строка и запоминающаяся фраза могут выглядеть одинаково странно, но иметь совершенно разную энтропию. Случайный идентификатор тоже не является паролем, потому что его создают ради уникальности, а не секретности. Разницу объясняет статья UUID v4 или v7.

Для пароля из случайных символов расчёт такой:

биты = длина × log2(размер набора символов)

Для парольной фразы из случайных слов:

биты = количество слов × log2(размер списка слов)

В таблице приведены расчёты. В каждой строке предполагается, что все варианты выбраны случайно и равновероятно.

Как создан	Количество вариантов	Биты
8 случайных строчных букв	26^8	37.6
12 случайных букв и цифр	62^12	71.5
20 случайных символов из 94 печатаемых	94^20	131.1
4 случайных слова из списка на 7 776 слов	7 776^4	51.7
5 случайных слов из списка на 1 024 слова	1 024^5	50.0
6 случайных слов из списка на 7 776 слов	7 776^6	77.5

Первая строка показывает, почему короткие случайные строки слабы: 38 бит оставляют мало запаса для важного аккаунта. Третья строка показывает, что даёт длина. Пароль, который вы придумали сами, например Sunset!2026, имеет гораздо меньше реальных вариантов, чем подсказывает его длина, потому что вы выбрали его из небольшого набора привычных форм.

Парольные фразы, которые можно набрать

Если пароль нужно вводить с клавиатуры, например при входе на ноутбук или для мастер-пароля менеджера, на практике лучше всего подходит парольная фраза из случайных слов. Шесть случайных слов из списка на 7 776 слов дают около 77.5 бит, и такие слова запомнить гораздо легче, чем случайный набор символов. Слова должны быть именно случайными. Четыре слова, которые вы выбрали сами, содержат намного меньше информации, чем подсказывает их количество, потому что люди выбирают привычные слова и привычные пары. Поэтому для этого часто используют списки слов, в которых выбор делают кубики: решает случай, а не ваши привычки. Генератор паролей создаёт фразу именно так, с разделителем на ваш выбор и необязательными заглавной буквой и цифрой.

Повторное использование — главный риск

Длина важна, но именно повтор обычно превращает одну утечку во многие. Когда сайт взломан, пары «почта и пароль» часто пробуют на других популярных сайтах. Это называется credential stuffing, то есть подстановка учётных данных. Пароль, который на бумаге очень надёжен, полностью теряет защиту, если вы используете его ещё где-то.

Менеджер паролей решает эту проблему. Он создаёт уникальный пароль для каждого аккаунта, сохраняет его и подставляет при входе, а вам нужно помнить только один надёжный мастер-пароль. Менеджеры есть в браузерах и в системах телефонов, существуют и отдельные приложения. Каким бы вы ни пользовались, в первую очередь включите двухфакторную аутентификацию для почты и банковских аккаунтов, потому что почта — ключ к восстановлению всех остальных.

NIST, американский институт стандартов, отдаёт предпочтение длине, а не правилам сложности вроде обязательных символов, и отказывается от принудительной периодической смены паролей, если нет признаков компрометации. Сайт, который заставляет менять пароль каждые несколько месяцев или не принимает длинные пароли и вставку из буфера, следует устаревшим привычкам. Это недостаток самого сайта, а не повод выбирать более слабый пароль.

Короткий чек-лист

• Создавайте пароли генератором, а не придумывайте их сами.
• Для аккаунтов, которые трудно восстановить, ориентируйтесь минимум на 16 случайных символов или шесть случайных слов.
• Используйте отдельный уникальный пароль для каждого аккаунта и храните их в менеджере.
• Включайте двухфакторную аутентификацию везде, где она доступна.
• Сразу меняйте пароль, если сервис, которым вы пользуетесь, сообщает о взломе.

Если пароль нужен для роутера, статья как поделиться Wi-Fi с помощью QR-кода покажет, как передать его без произнесения вслух.

Как это сделать в fixmint

1. Откройте генератор паролей и оставьте выбранным режим Случайные символы.
2. Установите Длина не меньше 16, а для важного аккаунта — 20 и больше. По умолчанию стоит 20, и отмечены все четыре набора символов.
3. Посмотрите Оценка надёжности. Инструмент считает слабым пароль до 50 бит, средним — от 50 до 69, надёжным — от 70 до 99, очень надёжным — от 100 и выше.
4. Нажмите Обновить, чтобы получить новый набор из пяти вариантов, и скопируйте один из них в менеджер паролей. Нигде больше его не используйте.
5. Для мастер-пароля, который придётся вводить, выберите Парольная фраза, установите Слова равным шести и оставьте разделитель, который вам удобно набирать.

Быстрые ответы

Обязательны ли символы в надёжном пароле?

Нет. Случайные символы добавляют некоторое количество бит, но длина добавляет больше, а длинная случайная строка из букв и цифр надёжна.

Сколько слов нужно для надёжной парольной фразы?

Шесть случайных слов из списка на 7 776 слов дают около 77.5 бит. Это хороший ориентир для большинства аккаунтов.

Безопасно ли разрешать браузеру сохранять созданные пароли?

Для большинства людей это разумный выбор, если на устройстве есть блокировка экрана и профиль браузера защищён. Главный риск — само устройство, а не пароль.