Руководство по безопасности паролей: как создавать и хранить надёжные пароли

Пароли являются ключами к вашей цифровой жизни. Они защищают вашу электронную почту, банковские счета, социальные сети и рабочие системы. Несмотря на свою важность, большинство людей используют слабые, повторно используемые пароли, которые легко взломать. Это руководство объясняет, как работают системы паролей, какие атаки используют злоумышленники и — самое главное — как защитить себя с помощью правильных методов обеспечения безопасности паролей.

Почему важна безопасность паролей

Надёжный пароль — это первая линия защиты от несанкционированного доступа. Но что именно делает пароль надёжным? Вопреки распространённому мнению, сложность (смешивание типов символов) менее важна, чем длина. Длинный пароль, состоящий только из строчных букв, может быть более безопасным, чем короткий пароль со всеми типами символов.

Длина против сложности

Энтропия измеряет непредсказуемость пароля в битах. Более высокая энтропия означает, что пароль труднее угадать. Энтропия зависит как от набора символов, так и от длины. Формула: энтропия = log₂(размер_набора^длина). Например, 12-символьный пароль, использующий буквы верхнего и нижнего регистра, цифры и символы (набор из 95 символов), имеет энтропию примерно 79 бит, что считается очень надёжным.

Энтропия пароля

Понимание того, как злоумышленники взламывают пароли, помогает понять, почему важны определённые меры безопасности. Вот самые распространённые векторы атак на пароли:

Атака полным перебором

Злоумышленник пробует все возможные комбинации символов, пока не найдёт правильный пароль. Современные GPU могут тестировать миллиарды хешей в секунду. 8-символьный пароль с цифрами и буквами может быть взломан за минуты. 12-символьный пароль со смешанными символами займёт тысячи лет при полном переборе. Вот почему длина имеет значение: каждый дополнительный символ экспоненциально увеличивает время взлома.

Что делает пароль надёжным

• Используйте не менее 12 символов: каждый дополнительный символ экспоненциально увеличивает время взлома. 12-символьный пароль со смешанными символами занимает тысячи лет для взлома полным перебором.
• Используйте случайные, несвязанные слова: избегайте известных фраз, цитат из фильмов или текстов песен. Слова должны быть по-настоящему случайными — используйте генератор, если возможно.
• Добавьте разделители: используйте пробелы, дефисы или другие символы между словами для увеличения сложности и удобства чтения.
• Никогда не повторно используйте пароли: каждый аккаунт должен иметь уникальный пароль. Повторное использование паролей — самая распространённая и опасная ошибка в безопасности паролей.
• Избегайте личной информации: не используйте имена, даты, адреса или любую информацию, которую можно найти в социальных сетях. Злоумышленники исследуют цели перед атакой.
• Избегайте распространённых шаблонов: не используйте последовательности клавиатуры (qwerty), последовательные цифры или простые замены символов (p@ssword).

Распространённые атаки на пароли

Атака по словарю

Вместо тестирования каждой комбинации символов, атака по словарю пробует распространённые слова, фразы и их вариации (например, «password123» или «P@ssw0rd»). Словарные атаки очень эффективны, потому что большинство людей используют предсказуемые шаблоны. Словари атак часто включают миллионы записей из реальных утечек данных.

Злоумышленники используют пары логин-пароль, украденные из одной утечки данных, чтобы попытаться войти в другие сервисы. Это работает, потому что люди часто повторно используют пароли на разных сайтах. Если ваш пароль от одного, менее защищённого сайта утекает, злоумышленники могут попробовать его на вашем email, банковском счёте и социальных сетях.

Атака с использованием учётных данных (Credential Stuffing)

Злоумышленник обманом заставляет вас раскрыть пароль, выдавая себя за легитимный сервис через поддельные страницы входа. Фишинг обходит все технические средства защиты, потому что нацелен на человека, а не на систему. Даже самые надёжные пароли бесполезны, если вы добровольно вводите их на поддельном сайте.

Фишинг

Вместо атаки на пароли напрямую, злоумышленники крадут целую базу данных хешей паролей и используют предварительно вычисленные таблицы (радужные таблицы), сопоставляющие хеши с паролями. Соление (добавление случайных данных к каждому паролю перед хешированием) делает радужные таблицы неэффективными, поскольку каждый хеш становится уникальным.

Как создавать надёжные пароли

Атака по радужной таблице

Метод парольной фразы — один из лучших способов создания одновременно надёжных и запоминающихся паролей. Вместо одного слова с заменами символов (например, «P@ssw0rd!»), используйте случайную последовательность из 4-6 несвязанных слов. Например, «correct horse battery staple» (эта знаменитая фраза из комикса xkcd) имеет энтропию около 44 бит, что делает её значительно более безопасной, чем типичный «сложный» пароль из 8 символов.

Парольные фразы работают, потому что их длина обеспечивает огромную безопасность, а их структура делает их запоминаемыми. 20-символьная парольная фраза из строчных букв имеет больше энтропии, чем 8-символьный пароль со всеми типами символов. И вы действительно можете её запомнить.

Метод парольной фразы

Для максимальной безопасности используйте генератор случайных паролей для создания полностью случайных строк. Эти пароли невозможно угадать или найти в словаре, но они практически не запоминаются. Вот почему менеджеры паролей необходимы.

Генераторы случайных паролей

Менеджер паролей — это безопасное хранилище, которое генерирует, хранит и автоматически заполняет ваши пароли. Вам нужно запомнить только один мастер-пароль для доступа к хранилищу. Все остальные пароли могут быть длинными, случайными и уникальными, поскольку вам не нужно их запоминать.

Менеджеры паролей

Двухфакторная аутентификация добавляет дополнительный уровень безопасности помимо пароля. Даже если ваш пароль украден, злоумышленник всё равно не сможет войти без второго фактора. Это одна из самых эффективных мер безопасности, которую вы можете реализовать.

• Используйте менеджер паролей: это единственный практичный способ поддерживать уникальные, сложные пароли для всех ваших аккаунтов. Позвольте менеджеру генерировать и запоминать их.
• Включайте 2FA везде, где возможно: предпочитайте ключи безопасности или приложения-аутентификаторы SMS. 2FA — самая эффективная мера безопасности, которую вы можете реализовать.
• Регулярно проверяйте скомпрометированные пароли: используйте сервисы, такие как Have I Been Pwned, чтобы проверять, не появлялись ли ваши пароли в известных утечках данных.
• Никогда не делитесь паролями: относитесь к паролям как к зубной щётке — не делитесь ими и регулярно меняйте.
• Используйте уникальные пароли для критических аккаунтов: email, банковские и рабочие аккаунты должны иметь самые надёжные и уникальные пароли. Компрометация email часто приводит к компрометации всех связанных аккаунтов.
• Коды SMS: одноразовые коды, отправляемые по SMS. Лучше, чем ничего, но уязвимы для атак с подменой SIM-карты.
• Приложения-аутентификаторы (TOTP): генерируют временные коды на вашем устройстве. Более безопасны, чем SMS, поскольку не зависят от телефонной сети. Примеры: Google Authenticator, Authy.