Пароли, которые не подобрать
Урок 3 из 16 курса «Кибербезопасность с нуля: курс с нуля». Бесплатно, с анимациями и тестом.
Почему «один на всё» — главная дыра
Сайты взламывают постоянно, и базы с почтами и паролями потом лежат в открытом доступе. Боты берут эти пары и пробуют их на почте, биржах, банках и соцсетях. Это называется credential stuffing — подстановка учётных данных. Если у Дэна один пароль на девяти сайтах, достаточно утечки с самого слабого из них, и открываются все девять. Никто ничего не «взламывал»: Дэн сам дал один ключ от всех дверей.
Длина решает
Сравни, сколько вариантов пришлось бы перебрать. 8 строчных букв — около 200 миллиардов, видеокарта переберёт их быстро. Восемь знаков всех типов — уже 6·10¹⁵, но «Dan2004!» не случайный: имена, даты и замены вроде @ вместо a боты пробуют первыми. Шесть случайных слов из списка в 7776 слов дают 2·10²³ вариантов. Такую фразу легко запомнить и невозможно угадать.
Фраза из случайных слов
Хороший пароль — это не «Q7#k!», который через неделю не вспомнишь, а несколько случайных слов: «кактус-лифт-рыжий-зонт-пятница». Главное слово тут — случайных. Фраза из песни или «ялюблюсвоюкошку» не годится, такие боты тоже перебирают. Слова выбирай кубиком или генератором, а не головой. И на каждом сайте пароль должен быть свой.
Проверь себя в утечках
Сервис Have I Been Pwned собирает базы известных утечек. Вводишь почту и видишь, в каких взломах она засветилась. Если сайт из списка знает твой пароль, этот пароль считай публичным: меняй его везде, где он повторяется. Проверка паролей на этом сервисе устроена так, что сам пароль никуда не отправляется: уходят только первые знаки его хеша. Хеш — это необратимый «отпечаток» пароля.
Что говорит NIST
NIST — американский институт стандартов, его правила по паролям используют компании по всему миру. Главное из актуальной версии: длина важнее «сложности», и если пароль — единственная защита, нужно от 15 символов. Сайт должен проверять пароль по базам утечек. Менять пароль по расписанию не надо, только если есть признаки утечки. А для тебя главное правило проще: свой пароль на каждом сайте. В тренажёре проверь, сколько продержится твой вариант.
Проверь себя
- Дэн придумал «Dan2004!» — большие и маленькие буквы, цифры и символ. Почему это слабый пароль?
Правильный ответ: Имя и год рождения боты пробуют первыми, а длина всего 8. Правила «буква+цифра+символ» создают иллюзию силы. Предсказуемая схема «имя+год+!» есть в каждом словаре для перебора. - Have I Been Pwned показал, что почта Дэна есть в утечке старого форума. Что делать первым?
Правильный ответ: Сменить этот пароль везде, где он повторяется, начиная с почты и биржи. Опасен не форум, а пароль из него: боты пробуют его на всём остальном. Сначала меняй там, где лежат деньги и сброс паролей. - Какой пароль сильнее всего?
Правильный ответ: Пять случайных слов через дефис, выбранных генератором. Случайные слова длинные и непредсказуемые. Генератор не знает твоих любимых песен, а значит, и боты не угадают.
← Кто охотится за тобой и зачем Менеджер паролей: помнить один →