Проверка надёжности пароля

Как создать надежный пароль, который вы сможете запомнить

Длина важнее всего, но сама по себе ее недостаточно. Пароль из 20 символов, составленный из обычных слов (mojpasjeprvirodjendan), имеет гораздо меньше реальной энтропии, чем предполагает количество знаков, потому что злоумышленник не подбирает символ за символом, а перебирает слова из словаря и их комбинации. Поэтому проверка надежности пароля измеряет две вещи: насколько пароль длинный и насколько он предсказуемый.

Практичный подход для большинства людей это так называемая парольная фраза (passphrase): от четырех до шести случайно выбранных слов, соединенных разделителем или цифрой, например kafa-planina-7-tastatura. Такая фраза длинная, ее легче запомнить, чем случайный набор символов, и она устойчива к атакам по словарю, если слова действительно случайны, а не связаны по смыслу.

Если вы создаете пароль вручную, обратите внимание на следующее:

1. Стремитесь к минимум 16 символам для важных аккаунтов (почта, банк, менеджер паролей).
2. Избегайте личных данных: имен, дат рождения, кличек домашних животных, названия компании.
3. Не используйте шаблоны типа Lozinka2024! или Qwerty123; в инструментах для взлома они стоят в первых строках списка.
4. Не используйте один и тот же пароль на нескольких сайтах, потому что одна утечка тогда открывает все аккаунты.
5. Для случайных паролей используйте генератор, а для запоминания менеджер паролей.

Почему длинный пароль помечен как слабый

Это самое частое заблуждение. Пароль Beograd2023Beograd имеет 18 символов, но состоит из известного слова, года и повтора. По оценкам, такой пароль падет за несколько секунд или минут, потому что злоумышленник не начинает с нуля: он использует списки утекших паролей, словари, правила замены букв (a на @, o на 0) и шаблоны, которые люди привыкли создавать.

Энтропия это мера непредсказуемости, выраженная в битах. Каждый дополнительный бит удваивает количество попыток, необходимых для взлома. Случайный пароль из 12 символов со смешанными заглавными и строчными буквами, цифрами и символами имеет около 70 бит энтропии, тогда как фраза из четырех обычных слов может иметь меньше, в зависимости от размера словаря, из которого они выбраны. Поэтому проверка смотрит не только на длину, но и на структуру.

Совет для продвинутых: если вы используете парольную фразу, выбирайте слова из большего словаря и добавляйте случайное число или символ в неожиданное место, а не в конец. Избегайте цитат, поговорок и стихов, потому что они тоже есть в базах, которые используют злоумышленники.

Насколько точна оценка времени взлома

Оценка исходит из предположения о 10 миллиардах попыток в секунду, что соответствует скорости, которую достигают современные видеокарты, когда злоумышленник получает украденный хеш пароля. Это реалистичный сценарий для сайтов, которые хранят пароли в виде быстрых хешей (например, старый MD5 или SHA1 без соли). Если сайт использует медленное хеширование (bcrypt, Argon2) и соль, реальная скорость взлома в разы ниже.

Поэтому читайте оценку как порядок величины, а не как точный срок. Если инструмент говорит "среднее время взлома: 3 секунды", это значит, что пароль практически не обеспечивает никакой защиты. Если он говорит "несколько веков", это не значит, что пароль вечный: если он утечет на сайте, который хранит его слабо, злоумышленник может взломать его быстрее, чем предполагает оценка.

Самые частые ошибки при проверке и хранении паролей

Первая ошибка это проверка настоящего пароля на случайных сайтах. Этот инструмент работает локально в браузере, и пароль не покидает устройство, но это не правило для всех подобных сервисов. Если вы не уверены, куда отправляются данные, проверяйте вариант пароля, никогда оригинал.

Вторая ошибка это полагаться исключительно на пароль. Длинный и надежный пароль не поможет, если аккаунт скомпрометирован через фишинг или утечку с другого сайта. Включите двухфакторную аутентификацию (MFA) везде, где она доступна, желательно приложение или аппаратный ключ, а не SMS.

Третья ошибка это хранение паролей в обычном тексте, в заметках или таблице. Менеджер паролей решает и запоминание, и уникальность: вы помните один длинный главный пароль, а все остальные генерирует инструмент.

Если в компании есть несколько сотен аккаунтов и систем, управление паролями и доступом выходит за рамки отдельного инструмента; в таких случаях EVI Solutions может помочь с внедрением менеджера паролей, MFA и политики доступа.