Що робить пароль надійним: прості цифри
Надійний пароль довгий і випадковий, і випадковість має забезпечувати генератор, а не ви самі. Кожен випадковий символ або слово збільшує кількість спроб, які потрібні зловмиснику, тому довжина працює краще за хитрощі на кшталт заміни літер на символи. Створюйте унікальний пароль для кожного облікового запису, зберігайте його в менеджері паролів і ніколи не використовуйте повторно.
Генератор паролівПотрібен надійний парольБезкоштовноЧому хитрощі не працюють
Зловмисники рідко вгадують паролі для одного облікового запису вручну. Вони проганяють списки поширених паролів і словникових слів через відомі шаблони, наприклад @ замість a, 0 замість o і символ наприкінці. Такі варіанти перевіряються першими, бо багато людей створюють паролі за тими самими шаблонами. Пароль на кшталт P@ssw0rd! здається людині складним, але він один із перших варіантів, які перевірить список зловмисника. Його видима складність майже нічого не говорить про те, наскільки важко його вгадати.
Ентропія простими словами
Ентропія показує, з скількох однаково ймовірних варіантів міг бути створений пароль, і вимірюється в бітах. Кожен додатковий біт удвічі збільшує кількість потрібних спроб. Важливо, що ентропія описує процес, яким створено пароль, а не його вигляд. Випадковий рядок і запам'ятовувана фраза можуть виглядати однаково дивно, але мати зовсім різну ентропію. Випадковий ідентифікатор теж не є паролем, бо його створювали, щоб він був унікальним, а не таємним. Різницю пояснює стаття UUID v4 чи v7.
Для пароля з випадкових символів розрахунок такий:
біти = довжина × log2(розмір набору символів)
Для парольної фрази з випадкових слів:
біти = кількість слів × log2(розмір списку слів)
У таблиці наведено розраховані значення. Кожен рядок передбачає, що всі вибори були випадковими й однаково ймовірними.
| Як створено | Варіанти | Біти |
|---|---|---|
| 8 випадкових рядкових літер | 26^8 | 37.6 |
| 12 випадкових літер і цифр | 62^12 | 71.5 |
| 20 випадкових символів із 94 друкованих | 94^20 | 131.1 |
| 4 випадкові слова зі списку з 7 776 слів | 7 776^4 | 51.7 |
| 5 випадкових слів зі списку з 1 024 слів | 1 024^5 | 50.0 |
| 6 випадкових слів зі списку з 7 776 слів | 7 776^6 | 77.5 |
Перший рядок показує, чому короткі випадкові рядки слабкі: 38 бітів лишають мало запасу для важливого облікового запису. Третій рядок показує, що дає довжина. Пароль, який ви вигадали, як-от Sunset!2026, має набагато менше реальних варіантів, ніж видно з його довжини, бо ви обрали його з невеликого набору знайомих шаблонів.
Парольні фрази, які можна набрати
Якщо пароль доводиться вводити вручну, наприклад для входу в ноутбук або головного пароля менеджера, практичний вибір — парольна фраза з випадкових слів. Шість випадкових слів зі списку з 7 776 слів дають близько 77.5 бітів, а слова запам'ятати значно легше, ніж випадковий набір символів. Слова мають бути саме випадковими. Чотири слова, які ви вибрали самі, мають набагато меншу силу, ніж здається за їхньою кількістю, бо люди обирають знайомі слова в знайомих парах. Тому для цього часто використовують списки слів для кубиків: вибір робить кубик, а не ваші звички. Генератор паролів створює парольну фразу саме так, з роздільником, який ви обираєте, і за бажанням з великою літерою та цифрою.
Повторне використання — більший ризик
Довжина важлива, але саме повторне використання зазвичай перетворює один витік на багато. Коли сайт зламують, пари електронної пошти й пароля часто пробують на інших популярних сайтах. Це називається credential stuffing. Пароль, який на папері є надійним, повністю втрачає захист, якщо ви використовуєте його ще десь.
Менеджер паролів усуває цю проблему. Він створює унікальний пароль для кожного облікового запису, зберігає його й автоматично вставляє, а вам достатньо запам'ятати один надійний головний пароль. Менеджери є у браузерах і в системах телефонів, існують і окремі застосунки. Яким би ви не користувалися, спершу ввімкніть двофакторну автентифікацію для електронної пошти та банківських рахунків, бо пошта є ключем до відновлення решти.
NIST, американська організація зі стандартів, надає перевагу довжині перед правилами складності, наприклад обов'язковими символами, і відмовляється від примусової періодичної зміни, якщо немає ознак компрометації. Сайт, який змушує міняти пароль кожні кілька місяців або не дозволяє довгі паролі чи вставлення з буфера, дотримується старих звичок. Це недолік сайту, а не привід обирати слабший пароль.
Короткий чек-лист
- Генеруйте паролі, а не вигадуйте їх.
- Для облікових записів, які важко відновити, прагніть щонайменше 16 випадкових символів або шести випадкових слів.
- Використовуйте один унікальний пароль для кожного облікового запису й зберігайте їх у менеджері.
- Вмикайте двофакторну автентифікацію скрізь, де вона доступна.
- Одразу змініть пароль, якщо сервіс, яким ви користуєтеся, повідомляє про злам.
Якщо пароль потрібен для роутера, у статті як поділитися Wi-Fi через QR-код показано, як передати його без голосного читання.
Як це зробити у fixmint
- Відкрийте генератор паролів і залиште вибраним пункт Випадкові символи.
- Встановіть Довжину щонайменше 16, а для важливого облікового запису 20 або більше. За замовчуванням стоїть 20, і увімкнено всі чотири набори символів.
- Перегляньте Оцінку надійності. Інструмент вважає слабкими паролі менше 50 бітів, помірними — від 50 до 69, надійними — від 70 до 99, а дуже надійними — 100 і більше.
- Натисніть Згенерувати знову, щоб отримати новий набір із п'яти варіантів, і скопіюйте один у менеджер паролів. Не використовуйте його більше ніде.
- Для головного пароля, який доведеться вводити, виберіть Парольну фразу, встановіть Слів на шість і залиште роздільник, який зручно набирати.
Короткі відповіді
Чи обов'язкові символи для надійного пароля?
Ні. Випадкові символи додають деякі біти, але довжина додає більше, і довгий випадковий рядок із літер і цифр є надійним.
Скільки слів потрібно для надійної парольної фрази?
Шість випадкових слів зі списку з 7 776 слів дають близько 77.5 бітів, що є гарною ціллю для більшості облікових записів.
Чи безпечно дозволяти браузеру зберігати згенеровані паролі?
Для більшості людей це розумний вибір, якщо на пристрої є блокування екрана, а профіль браузера захищено. Головний ризик — сам пристрій, а не пароль.
Переклад з Англійський оригінал за допомогою ШІ.
Коментарі
Коментарів поки немає. Будьте першим.
