Стандартные пароли qwerty и 123456 самые опасные и легковзламываемые. Старайтесь избавляться от них
Фото: URA.RU
Лаборатория Касперского изучила 231 миллион паролей из утечек 2023-2026 годов, включая Россию, и выяснила: больше 60% таких паролей взламывают примерно за час. Причина в том, что почти все пароли строятся по одним и тем же предсказуемым схемам. В материале URA.RU разберем, что на самом деле делает пароль надежным и как составить свой без лишних усилий.
Оглавление
- Почему длина важнее сложности
- Какой пароль считается надежным
- Ошибки, которые делают пароль уязвимым
- Как составить надежный пароль
- Как правильно хранить пароли
- Корпоративные пароли — требования ФСТЭК
Почему длина важнее сложности
Долгое время пароли усложняли заглавными буквами, цифрами и символами вместо букв. Этот подход больше не работает: из-за развития алгоритмов подбора более 20% паролей длиной 15 символов сегодня взламывают меньше чем за минуту, если внутри есть узнаваемая схема.
Продолжение после рекламы
NIST, американский институт стандартов, в своих рекомендациях смещает акцент с обязательной сложности на длину и на то, чтобы пароль не повторялся в разных аккаунтах. Ведомство разрешает пароли длиной до 64 символов и не советует заставлять пользователей менять их по расписанию, если только аккаунт не был скомпрометирован.
Математика тоже на стороне длины. Пароль из восьми символов со спецсимволами перебирают за секунды, а фраза из четырех случайных, не связанных по смыслу слов дает столько комбинаций, что перебор растягивается на сотни лет.
Какой пароль считается надежным
Надежный пароль должен содержать минимум 16 знаков: случайные заглавные и строчные буквы, цифры и символы вперемешку, без узнаваемой логики. Альтернатива — парольная фраза из четырех-пяти случайных слов, выбранных вслепую из большого словаря, без смысловой связи между собой.
Варианты надежных паролей — примеры
- Случайная строка от генератора, 16 знаков: K7$mPz9qLxT2@VrB.
- Парольная фраза из четырех случайных слов: тропа-бетон-фонарь-персик.
- Парольная фраза из пяти слов для самых важных аккаунтов, например почты или банка: ковер7-стекло-рыба-магнит-овраг.
- Англоязычная фраза для сервисов без поддержки кириллицы: otter-bridge42-kite-lumen.
- Случайная строка с чередованием регистра и символов, 18 знаков: 9xQ!rT4mZk#2Lp7wDf.
Это именно образцы логики построения, а не готовые пароли для копирования: раз строка опубликована в статье, ее уже нельзя считать секретной. Возьмите за основу структуру и придумайте свою комбинацию, ни один символ которой не будет совпадать с примером.
Для каждого аккаунта нужен отдельный пароль. Если один и тот же пароль стоит на почте, соцсетях и банковском приложении, одна утечка открывает доступ сразу ко всем сервисам, а такие связки хакеры проверяют в первую очередь.
Пароль не должен содержать имена, даты рождения, клички питомцев и другие данные, которые легко найти в соцсетях. Строка из песни или известная пословица тоже не подходит: такие фразы давно включены в словари для подбора паролей.
Ошибки, которые делают пароль уязвимым
Типичные слабые места: 53% утекших паролей заканчивались цифрами, 17% начинались с цифр, а около 12% содержали дату в диапазоне 1950-2030 годов. Еще 3% состояли из клавиатурных цепочек вроде qwerty или йцукен.
Российские пользователи часто набирают привычные слова в английской раскладке: «папа» превращается в gfgf, «мама» — в vfvf, «пароль» — в gfhjkm. Встречается и обратный прием, когда имя набирают в русской раскладке на латинской клавиатуре: «мдфв» соответствует vlad, «вшьф» — dima.
Продолжение после рекламы
Такие приемы кажутся хитрыми, но взломщики знают о них давно и проверяют подобные варианты в первую очередь. Чем меньше в пароле узнаваемой логики, тем дольше его перебирать.
Как составить надежный пароль
Первый способ — случайный набор символов от генератора паролей, встроенного в большинство менеджеров паролей и браузеров. Такой пароль не нужно придумывать самому, нужно задать длину от 16 символов и сохранить результат в защищенном хранилище.
Второй способ — парольная фраза из четырех-пяти слов. Слова лучше брать из генератора парольных фраз, который выбирает их случайно из словаря на тысячи вариантов. Подбор слов вручную по смыслу такой непредсказуемости не дает.
Оба способа требуют места для хранения, ведь запомнить десяток разных длинных паролей нереально. Здесь и пригождается менеджер паролей: он хранит все комбинации в зашифрованном виде под одним мастер-паролем, который единственный придется запомнить.
Как правильно хранить пароли
Записывать пароли в заметках телефона или файле на рабочем столе небезопасно: при попадании устройства в чужие руки все пароли окажутся раскрыты разом. Менеджер паролей шифрует базу и подходит для этой задачи куда лучше.
Двухфакторная аутентификация — обязательное дополнение к любому паролю, особенно для почты и банковских приложений. Даже если пароль все же утечет, вход без второго фактора — кода из приложения или смс — не пройдет.
Проверить, попадал ли пароль в известные утечки, можно на специализированных сервисах проверки. Если результат положительный, пароль нужно сменить на всех сервисах, где он использовался.
Корпоративные пароли — требования ФСТЭК
Для компаний и учреждений в России действуют отдельные требования регулятора. С 2026 года минимальная длина пароля в защищаемых информационных системах не может быть меньше 10 символов ни при каком уровне защиты.
ФСТЭК выделяет три уровня защиты в зависимости от значимости информации. Для базового уровня используют алфавит из 30 символов — обычно это латинские буквы разных регистров и цифры, а для самого строгого уровня требуется алфавит из 70 символов со спецсимволами и срок действия пароля сокращается до 90 дней.
Источник: URA.RU · Иван Николаев